Improving Transferability of Adversarial Examples on Face Recognition with Beneficial Perturbation Feature Augmentation

要約

顔認識 (FR) モデルは、無害な顔画像に知覚できない摂動を追加することによって作成された敵対的な例によって簡単にだまされる可能性があります。
FRモデルでの敵対的な例の転送可能性を改善するために、有益な摂動機能拡張攻撃（BPFA）と呼ばれる新しい攻撃方法を提案します。これは、敵対的な戦略によってFRモデルを代理するための敵対的な例のオーバーフィッティングを減らします。
具体的には、逆伝播ステップで、BPFA は事前に選択された特徴の勾配を記録し、入力画像の勾配を使用して、入力画像に追加される敵対的摂動を作成します。
次の順伝播ステップでは、BPFA は記録された勾配を利用して摂動 (つまり、有益な摂動) を追加します。この摂動は、対応する特徴の入力画像に追加された敵対的摂動に対してピットインできます。
上記の 2 つの手順は、最大反復回数に達する前の最後の逆伝播手順まで繰り返されます。
入力画像に追加された敵対的摂動の最適化プロセスと、特徴に追加された有益な摂動の最適化プロセスは、ミニマックス 2 プレーヤー ゲームに対応します。
広範な実験により、BPFA が FR に対する最先端の勾配ベースの敵対的攻撃よりも優れていることが示されています。

要約(オリジナル)

Face recognition (FR) models can be easily fooled by adversarial examples, which are crafted by adding imperceptible perturbations on benign face images. To improve the transferability of adversarial examples on FR models, we propose a novel attack method called Beneficial Perturbation Feature Augmentation Attack (BPFA), which reduces the overfitting of the adversarial examples to surrogate FR models by the adversarial strategy. Specifically, in the backpropagation step, BPFA records the gradients on pre-selected features and uses the gradient on the input image to craft adversarial perturbation to be added on the input image. In the next forward propagation step, BPFA leverages the recorded gradients to add perturbations(i.e., beneficial perturbations) that can be pitted against the adversarial perturbation added on the input image on their corresponding features. The above two steps are repeated until the last backpropagation step before the maximum number of iterations is reached. The optimization process of the adversarial perturbation added on the input image and the optimization process of the beneficial perturbations added on the features correspond to a minimax two-player game. Extensive experiments demonstrate that BPFA outperforms the state-of-the-art gradient-based adversarial attacks on FR.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google