[论文解读] ReFace: Real-time Adversarial Attacks on Face Recognition Systems

Shehzeen Hussain, Todd Huster+6 more|arXiv (Cornell University)|Jun 9, 2022

Adversarial Robustness in Machine Learning被引用 4

一句话总结

ReFace 提出了一种基于改进 U-Net 的对抗性转换网络（ATN）的实时、高度可迁移的对抗性攻击框架，用于人脸验证系统。与 PGD 等基于梯度的方法不同，ReFace 通过前馈网络在毫秒内生成对抗性样本，在 AWS Rekognition 上实现 16.4% 的 rank-1 准确率降低，在 Azure 上实现 50.1% 的验证准确率下降，同时相比 PGD 实现了 10,000 倍的速度提升。

ABSTRACT

Deep neural network based face recognition models have been shown to be vulnerable to adversarial examples. However, many of the past attacks require the adversary to solve an input-dependent optimization problem using gradient descent which makes the attack impractical in real-time. These adversarial examples are also tightly coupled to the attacked model and are not as successful in transferring to different models. In this work, we propose ReFace, a real-time, highly-transferable attack on face recognition models based on Adversarial Transformation Networks (ATNs). ATNs model adversarial example generation as a feed-forward neural network. We find that the white-box attack success rate of a pure U-Net ATN falls substantially short of gradient-based attacks like PGD on large face recognition datasets. We therefore propose a new architecture for ATNs that closes this gap while maintaining a 10000x speedup over PGD. Furthermore, we find that at a given perturbation magnitude, our ATN adversarial perturbations are more effective in transferring to new face recognition models than PGD. ReFace attacks can successfully deceive commercial face recognition services in a transfer attack setting and reduce face identification accuracy from 82% to 16.4% for AWS SearchFaces API and Azure face verification accuracy from 91% to 50.1%.

研究动机与目标

• 为解决基于梯度的对抗性攻击在实时人脸验证系统中因对每个输入进行迭代优化而不切实际的问题。
• 开发一种实时对抗性攻击框架，同时保持高欺骗成功率，并在不同人脸验证模型之间具有高度可迁移性。
• 通过针对人脸验证模型的嵌入空间调整架构和训练目标，提升基于 ATN 的攻击性能。
• 评估基于 ATN 生成的对抗性样本在完整黑盒设置下对商业云人脸验证 API（如 AWS Rekognition 和 Microsoft Azure Face）的有效性。

提出的方法

• 提出一种基于 U-Net 的对抗性转换网络（ATN），通过单次前向传播生成对抗性扰动，实现攻击的实时生成。
• 设计一种新型训练目标，针对人脸验证模型的嵌入空间，聚焦于最小化类间距离并最大化类内聚类的破坏。
• 整合感知图像块相似性（LPIPS）和 $L_\infty$ 约束，以确保扰动的不可察觉性，同时保持攻击有效性。
• 在多种不同的人脸验证模型（如 ResNet、Inception-ResNet）的集成模型上训练 ATN，以提升对未见架构的可迁移性。
• 采用带有跳跃连接和残差块的 ResU-Net 架构，以增强特征重建和对抗性扰动的质量。
• 通过白盒和黑盒设置（包括实时演示和对商业 API 的评估）验证攻击性能。

实验结果

研究问题

• RQ1 基于前馈神经网络的 ATN 是否能在实时人脸验证攻击中实现与 PGD 等迭代式基于梯度的方法相当的攻击成功率？
• RQ2 当针对未见过的人脸验证模型时，ATN 生成的对抗性样本的可迁移性与 PGD 生成的样本相比如何？
• RQ3 在黑盒设置下，对多种人脸验证模型进行训练的 ATN 能在多大程度上提升对未知架构的可迁移性？
• RQ4 在完整黑盒场景下，ATN 生成的对抗性样本是否能成功绕过 AWS Rekognition 和 Microsoft Azure Face 等商业云托管的人脸验证 API？

主要发现

• 所提出的 ResU-Net ATN 在相同扰动幅度（$ε = 0.03$）下，白盒攻击成功率与 PGD 相当，缩小了与基于梯度方法的性能差距。
• ReFace 在黑盒迁移攻击中将 AWS Rekognition 的人脸识别准确率从 82% 降低至 16.4%，证明了其高度可迁移性。
• 在相同条件下，攻击在 Microsoft Azure Face API 上实现 50.1% 的验证准确率下降，性能从 91% 降至 50.1%。
• ReFace 在 GPU 上生成对抗性样本仅需 2.83×10⁻³ 秒，相比 PGD 每张图像耗时 3.73 秒，速度提升 10,000 倍。
• 由于学习到的扰动函数具有模型无关性，基于 ATN 的攻击在未见模型上的迁移效果优于 PGD，尤其在较低扰动幅度（$ε = 0.02$）时更为显著。
• 集成训练的 ATN 在攻击成功率和可迁移性方面均优于单模型 ATN 和通用对抗扰动（UAP），且 UAP 需要显著更高的失真才能达到类似效果。