[论文解读] Making GAN-Generated Images Difficult To Spot: A New Attack Against Synthetic Image Detectors.

Xinwei Zhao, Matthew C. Stamm|arXiv (Cornell University)|Apr 25, 2021

Digital Media Forensic Detection参考文献 45被引用 5

一句话总结

本文提出了一种新颖的反取证攻击方法，利用对抗性训练的生成器将合成痕迹嵌入到 GAN 生成的图像中，使其与真实图像在最先进的检测模型面前无法区分。该方法具有很高的可迁移性，成功欺骗了七种不同 GAN 上的八种 SOTA 检测 CNN。

ABSTRACT

Visually realistic GAN-generated images have recently emerged as an important misinformation threat. Research has shown that these synthetic images contain forensic traces that are readily identifiable by forensic detectors. Unfortunately, these detectors are built upon neural networks, which are vulnerable to recently developed adversarial attacks. In this paper, we propose a new anti-forensic attack capable of fooling GAN-generated image detectors. Our attack uses an adversarially trained generator to synthesize traces that these detectors associate with real images. Furthermore, we propose a technique to train our attack so that it can achieve transferability, i.e. it can fool unknown CNNs that it was not explicitly trained against. We demonstrate the performance of our attack through an extensive set of experiments, where we show that our attack can fool eight state-of-the-art detection CNNs with synthetic images created using seven different GANs.

研究动机与目标

• 为应对 GAN 生成的合成图像在传播虚假信息方面日益增长的威胁。
• 克服取证检测器——通常为深度神经网络——对对抗性攻击的脆弱性。
• 开发一种反取证攻击，生成带有模仿真实图像痕迹的 GAN 图像，从而规避检测。
• 确保该攻击具备可迁移性，能够欺骗在训练期间未使用过的未知检测 CNN。

提出的方法

• 使用对抗性训练的生成器合成嵌入真实图像相关取证痕迹的 GAN 生成图像。
• 通过损失函数训练攻击，以促使生成器产生被目标检测模型分类为真实图像的图像。
• 在训练过程中引入可迁移性目标，以确保攻击能泛化到未见过的检测 CNN。
• 该方法利用对抗性训练优化生成器，使得生成的图像能够欺骗检测器，而无需访问检测器的架构或权重。

实验结果

研究问题

• RQ1 能否设计一种反取证攻击，使 GAN 生成的图像在最先进的检测模型面前与真实图像无法区分？
• RQ2 该攻击在未在训练期间见过的不同检测 CNN 上的性能迁移效果如何？
• RQ3 该攻击在不同 GAN 架构生成的合成图像上泛化程度如何？
• RQ4 对抗性训练对反取证生成器的鲁棒性和可迁移性有何影响？

主要发现

• 所提出的攻击成功欺骗了八种最先进的图像检测 CNN，即使这些检测器在训练期间未被使用。
• 该攻击表现出强大的可迁移性，能有效规避在不同数据集和架构上训练的未见 CNN 的检测。
• 该方法在嵌入模仿真实图像的取证痕迹的同时保持了高视觉保真度，维持了图像的真实性。
• 该攻击在七种不同的 GAN 架构上均有效，表明其在当前 GAN 基础图像生成流水线中具有广泛的适用性。