腦門貼張紙,騙過Face ID!華為破解最強人臉識別系統

騰訊科技2019-09-06 03:04:09

點擊上方“騰訊科技”,“星標或置頂公眾號”

關鍵時刻,第一時間送達


來源 / 量子位(ID:QbitAI)

作者 / 魚羊 栗子 

歡迎下載騰訊新聞APP,查看更多科技熱點新聞

研究人員希望通過這個新的人臉識別對抗攻擊方法,可以用到人臉識別系統裏,幫助各種Face ID系統進化成更加棒、可以信賴的樣子。


你知道嗎,在腦門上貼張符,AI就看不出你是個人了。


比如,這裏有一個妹子,被人臉識別系統ArcFace發現了:




於是,她在腦門上貼了一張符。


人臉識別就不把她當人了,框框上的“Person”標籤沒有了:




就算把光線調暗,這張符依然可以保護她,不被AI發現人類的身份:




鬼片的光照條件,也是一樣:



這樣,萬一哪天人類和AI打起來了,説不定還能逃過一劫呢 (誤) 。


畢竟,去年發表的ArcFace,在現有的公開FaceID系統裏面,是最強大的一個 (State-of-the-Art) 了。



而騙它的人,是來自莫斯科國立大學華為莫斯科研究院的科學家


他們的符上有特殊紋路,可以迷惑AI,這叫對抗攻擊。攻擊成本很低,符是普通的彩色打印機打出來的。


團隊説,這是一個“很容易復現 (Easily Reproducible) ”的方法,還不光對ArcFace這一隻AI有效,可以遷移到其他AI上,騙無止境。


網友説:開個公司,可以量產了。



並且,畫符的算法已經開源了,那大家都可以生成欺騙人臉識別AI的符了。


説不定有一天,監控系統對陌生人出沒,就沒有抵抗力了。果然還是人類比較危險。


那麼,先來看看畫符的原理吧。


畫符的原理


你可能聽説過,在圖像里加上一些噪聲,熊貓就變成了長臂猿:



對抗性攻擊在數字領域很容易實現,但在真實世界中,對抗攻擊的效率大打折扣。


研究團隊想到了一個方法,首先,他們琢磨出了一種新的離面變換方法,把一張平面矩形圖像彎曲成三維拋物線,再進行旋轉。



第二步,是把高質量的人臉圖像投到變形後的“貼紙”上,並加入隨機噪聲。


然後,將由此獲得的圖像轉換為ArcFace的標準輸入。


最後,降低兩個參數的總和:初始矩形圖像的TV損失,和最後獲得的圖像的嵌入與ArcFace計算出來的錨嵌入之間的餘弦相似性。



如此生成的對抗攻擊圖像,就不是一張平面的紙了,而是三維立體,能直接貼合人類腦門。


研究團隊一開始完全隨機地加入噪聲。


在對抗樣本生成階段,他們採用的是具有動量的多次迭代FGSM方法(Goodfellow提出的經典對抗樣本生成方法)。攻擊分成兩個階段,第一階段的迭代步長為5/255,動量為0.9;第二階段的迭代步長變成1/255,動量為0.995。


在第一階段的100次迭代之後,使用最小二乘法,通過線性函數對最後100個驗證值進行插值。如果線性函數的斜率不小於0,則進入攻擊的第二階段。


在第二階段的200次迭代之後,同樣進行這一操作,如果線性函數的斜率不小於0,就停止攻擊。


有趣的現象出現了。



比較成功的對抗圖像,看上去都有點像人類的眉毛。


實際上,為了找到人臉的那個部位最適合投影到“貼紙”上,研究團隊進行了數字模擬實驗。他們發現貼紙的位置較低時能得到更好的驗證值。即使限制了貼紙的位置,強制它高於眼睛,貼紙也總是會向下移動到更接近眼睛的位置。


而此前的研究也表明,眉毛是人類面部識別中最重要的特徵。


不過最後生成的“貼紙”並不是通用的,是根據每個人的照片“私人定製”的。


團隊請了10個人類,來測試定製效果。4女6男,結果如下:



藍色,是一個人戴上普通帽子前後,AI判斷的類別相似度,在70%上下。(判斷類別一致,就是人類沒變。)


橙色,是一個人貼上對抗符前後,AI判斷的類別相似度,降到了20%以下。(判斷類別不一致,人類不再是人類了。)


定製成功,鑑定完畢。


這套攻擊方法,不止是對ArcFace有效,其他的的Face ID模型也一樣扛不住。


LResNet100E等模型基線相似度和被攻擊後的相似度之差


騙過AI一向不難


其實,AI在對抗攻擊面前,一向沒什麼抵抗力。


烏龜變步槍的舊事,這裏不贅述,畢竟在那之後又有了許多先進的玩法:


比利時魯汶大學的兩位少年,就曾經拿一幅炫彩的對抗圖畫,擋在自己的肚子前面。



這樣,目標檢測界的翹楚YOLOv2,不光看不出他們是人類,連那裏有物體存在都發現不了。


優秀的隱身衣,令人瑟瑟發抖。


另外,騰訊團隊也曾經用對抗圖,騙過一輛特斯拉。


一般情況,停車場裏不會下雨的。但當屏幕上出現了一種奇妙的圖案:



特斯拉的雨刷器就打開了。


並且,揮舞的節奏十分緊湊,彷彿AI看到的還不是綿綿細雨。


如果你覺得,開個雨刷器不算什麼危險:


特斯拉的圖像處理工具,都是身兼數職的:追蹤其他車,追蹤物體和車道,為周圍環境畫地圖,以及估計雨量……


並且,騰訊團隊還發現,剛才這些任務裏面,大多都是隻靠單一神經網絡完成的。


這不就是説,一掛掛一片?


而今天的主角,來自莫斯科的對抗符,一個高能之處在於:不是把圖案擺在面前,而是完全貼在臉上。



這就是説,經過3D扭曲/拉伸的圖案,也可以用來欺騙AI。


其實,擋在肚子前面的炫彩對抗圖出現之後,便有網友説最好印在T恤上,只是那時還不知道圖案能不能承受人體的拉伸。以現在的技術,就做得到了。


另一個優勢便是,它不止能欺騙一隻AI,只要調調損失函數,就可以遷移到其他AI上了,攻擊範圍十分廣泛。


不過,世界越來越危險,人臉識別顯得越來越脆弱,倒也不單是對抗攻擊的事。



福布斯的記者用3D打印的石膏人臉,破解了一眾流行旗艦手機的AI人臉識別解鎖功能;


騰訊又曾經用一副眼鏡,攻破了蘋果的面部識別系統。


騙術日新月異,人臉識別AI,還是要變得更強大才行。


所以研究人員是希望,這個新的人臉識別對抗攻擊方法,可以用到人臉識別系統裏,幫助各種Face ID系統進化成更加魯棒、可以信賴的樣子。


來自華為莫斯科研發中心


這項研究的兩位作者Stepan Komkov和Aleksandr Petiushko,來自華為莫斯科研發中心。


目前,華為在俄羅斯擁有莫斯科和聖彼得堡兩大研發中心,另外還在籌備第三個研發中心,總共人數將破千,在俄羅斯科技行業能算得上是規模巨大的研發機構了。


由於戰鬥民族數學一向很好,因此在俄羅斯的研究中心主要面向算法研究,此前就有華為俄羅斯研究所的一名數學天才,打通了不同網絡制式之間的算法,幫助運營商節省30%以上的成本。




近期精選

“AI第一股”曠視科技申請赴港上市

美團股價過山車,王興做對了什麼?

華為百日自救:選擇主動出擊

https://hk.wxwenku.com/d/201316595