[论文解读] LowKey: Leveraging Adversarial Attacks to Protect Social Media Users from Facial Recognition

Valeriia Cherepanova, Micah Goldblum+5 more|arXiv (Cornell University)|May 3, 2021

Adversarial Robustness in Machine Learning参考文献 20被引用 52

一句话总结

LowKey 提出了一种实用的对抗性防御方法，通过针对完整图像处理流水线定制的图像级扰动，显著降低 Amazon Rekognition 和 Microsoft Azure Face 等商业人脸识别 API 的性能。该方法在两个系统上的识别准确率均低于 1%，证明了其在真实工业部署环境中的有效性。

ABSTRACT

Facial recognition systems are increasingly deployed by private corporations, government agencies, and contractors for consumer services and mass surveillance programs alike. These systems are typically built by scraping social media profiles for user images. Adversarial perturbations have been proposed for bypassing facial recognition systems. However, existing methods fail on full-scale systems and commercial APIs. We develop our own adversarial filter that accounts for the entire image processing pipeline and is demonstrably effective against industrial-grade pipelines that include face detection and large scale databases. Additionally, we release an easy-to-use webtool that significantly degrades the accuracy of Amazon Rekognition and the Microsoft Azure Face Recognition API, reducing the accuracy of each to below 1%.

研究动机与目标

• 为应对利用社交媒体数据训练的人脸识别系统所带来的大规模监控威胁。
• 开发一种对完整工业级处理流水线有效的对抗性防御方法，而不仅限于学术基准测试。
• 创建一种实用且用户友好的工具，使个人能够保护其在社交媒体平台上的隐私。
• 证明即使面对强大的预处理机制和大规模数据库，对抗性攻击仍可对真实世界商业 API 产生显著影响。

提出的方法

• 设计一种定制化的对抗性滤波器，以建模整个图像处理流水线，包括人脸检测和识别阶段。
• 优化扰动，使其在图像变换的多个阶段（如缩放、裁剪和归一化）中保持鲁棒性。
• 训练并部署该滤波器，生成细微且人眼难以察觉的图像修改，从而降低识别性能。
• 将滤波器集成到基于网页的工具中，供公众使用，使用户能够上传图像并获得经过对抗性扰动的版本。
• 在真实条件下，针对工业级 API（包括 Amazon Rekognition 和 Microsoft Azure Face）测试该方法。
• 确保扰动在常见的图像压缩和网络传输流程后仍保持有效性。

实验结果

研究问题

• RQ1 对抗性扰动是否能在包含强大预处理和大规模数据库的全规模商业人脸识别系统上有效？
• RQ2 当应用于真实世界的 API（如 Amazon Rekognition 和 Microsoft Azure Face）时，对抗性攻击的性能衰减程度如何？
• RQ3 是否可以通过用户友好的网页工具，使非技术用户无需专业知识即可有效防范人脸识别？
• RQ4 通过感知处理流水线的对抗性方法，可实现多大程度的识别准确率下降？
• RQ5 对抗性扰动在社交媒体工作流中常见的图像变换下具有多强的鲁棒性？

主要发现

• 对抗性滤波器使 Amazon Rekognition 在测试图像上的准确率降至 1% 以下。
• 相同滤波器使 Microsoft Azure Face 人脸识别 API 的性能准确率也降至 1% 以下。
• 该方法在图像压缩和常见网络传输格式后仍保持有效性。
• 网页工具使非技术用户能够以极低门槛对其社交媒体图像应用对抗性扰动。
• 该方法在人脸检测和嵌入特征提取等多个处理阶段均表现出鲁棒性。
• 结果表明，工业级人脸识别系统极易受到精心设计的、面向处理流水线的对抗性攻击。