[论文解读] RSTAM: An Effective Black-Box Impersonation Attack on Face Recognition using a Mobile and Compact Printer

Xiaoliang Liu, Furao Shen+2 more|arXiv (Cornell University)|Jun 25, 2022

Adversarial Robustness in Machine Learning被引用 4

一句话总结

RSTAM 提出了一种使用移动便携打印机打印的对抗性遮罩，对人脸识别系统实施黑箱模仿攻击。通过利用随机相似性变换和在预训练模型上的随机元优化，RSTAM 实现了高迁移性，从而在商业系统（如 Face++、百度、腾讯）上实现有效物理攻击，在某些情况下置信度分数超过 97%。

ABSTRACT

Face recognition has achieved considerable progress in recent years thanks to the development of deep neural networks, but it has recently been discovered that deep neural networks are vulnerable to adversarial examples. This means that face recognition models or systems based on deep neural networks are also susceptible to adversarial examples. However, the existing methods of attacking face recognition models or systems with adversarial examples can effectively complete white-box attacks but not black-box impersonation attacks, physical attacks, or convenient attacks, particularly on commercial face recognition systems. In this paper, we propose a new method to attack face recognition models or systems called RSTAM, which enables an effective black-box impersonation attack using an adversarial mask printed by a mobile and compact printer. First, RSTAM enhances the transferability of the adversarial masks through our proposed random similarity transformation strategy. Furthermore, we propose a random meta-optimization strategy for ensembling several pre-trained face models to generate more general adversarial masks. Finally, we conduct experiments on the CelebA-HQ, LFW, Makeup Transfer (MT), and CASIA-FaceV5 datasets. The performance of the attacks is also evaluated on state-of-the-art commercial face recognition systems: Face++, Baidu, Aliyun, Tencent, and Microsoft. Extensive experiments show that RSTAM can effectively perform black-box impersonation attacks on face recognition models or systems.

研究动机与目标

• 解决现有针对商业人脸识别系统在有效黑箱、物理实现及便捷性方面模仿攻击的空白。
• 提升对抗性遮罩在多种人脸识别模型和真实世界条件下的迁移能力。
• 利用低成本、移动式打印技术（如 Canon SELPHY CP1300）实现实际物理攻击。
• 在高分辨率和低质量人脸图像上评估攻击效果，包括真实世界部署场景。
• 证明当前商业人脸识别系统易受此类物理对抗攻击的影响。

提出的方法

• 设计初始二值遮罩作为对抗扰动的起点。
• 引入随机相似性变换策略，以增加输入多样性并提升对抗性遮罩的迁移能力。
• 提出一种随机元优化策略，通过集成多个预训练人脸识别模型，生成更具泛化能力的对抗性遮罩。
• 利用移动紧凑型打印机（Canon SELPHY CP1300）物理打印对抗性遮罩，实现真实世界部署。
• 在高分辨率和低质量人脸数据集（CelebA-HQ、LFW、MT、CASIA-FaceV5）上开展数字攻击与物理攻击。
• 在五个商业系统上评估攻击性能：Face++、百度、阿里云、腾讯和微软。

实验结果

研究问题

• RQ1 能否通过低成本移动打印技术，有效将对抗性遮罩从数字环境迁移到物理环境？
• RQ2 随机相似性变换在黑箱设置下如何提升对抗性遮罩的迁移能力？
• RQ3 在多个预训练模型上进行随机元优化，能在多大程度上增强对抗性遮罩的泛化能力和鲁棒性？
• RQ4 RSTAM 是否能在真实世界物理约束条件下，对商业人脸识别系统实现高置信度的模仿攻击？
• RQ5 RSTAM 在现实世界监控或移动拍摄场景中常见的低质量人脸图像上的有效性如何？

主要发现

• 在使用 RSTAM^meta_2 方法攻击 LFW 图像时，RSTAM 在腾讯人脸识别系统上实现了超过 97% 的置信度分数。
• RSTAM^meta_∞ 和 RSTAM^meta_2 集成方法即使在远距离位置（位置④）下，当人脸图像质量较低时，仍保持了较高的攻击成功率。
• 使用 Canon SELPHY CP1300 打印机进行的物理攻击，其置信度分数与数字攻击相当或略有提升，表明具有出色的物理可实现性。
• 在随机相似性变换中的超参数 β 在 0.15 至 0.25 之间时效果最佳，所有实验（敏感性分析除外）均采用 0.2。
• RSTAM 在所有五个商业系统（Face++、百度、阿里云、腾讯、微软）上均表现出一致性能，证实了其广泛的迁移能力。
• 该方法成功利用仅从社交网络公开获取的人脸图像，对商业系统实施了黑箱模仿攻击。