Adversarial Watermarking for Face Recognition

要約

透かしは、所有権を主張し、不正な変更を監視するために、デジタル画像内に識別子 (つまり、透かしメッセージ) を埋め込むための重要な技術です。
顔認識システムでは、透かしはデータの整合性とセキュリティを確保する上で極めて重要な役割を果たします。
ただし、敵対者が透かし入れプロセスに干渉し、認識パフォーマンスを大幅に損なう可能性があります。
私たちは、顔認識モデルに対する透かしと敵対的攻撃の間の相互作用を調査します。
私たちの調査結果は、透かしまたは入力レベルの摂動だけでは認識精度にほとんど影響を及ぼさない可能性がありますが、透かしと摂動の複合効果は敵対的な透かし攻撃を引き起こし、認識パフォーマンスを大幅に低下させる可能性があることを明らかにしています。
具体的には、新しい脅威モデルである敵対的透かし攻撃を導入します。この攻撃は、透かしが存在しない場合でもステルス性を保ち、画像を最初から正しく認識できるようにします。
ただし、透かしが適用されると攻撃がアクティブになり、認識失敗が発生します。
私たちの調査により、これまで認識されていなかった脆弱性が明らかになりました。それは、敵対的な摂動がウォーターマーク メッセージを悪用して顔認識システムを回避できる可能性があるということです。
CASIA-WebFace データセットで評価すると、私たちが提案する敵対的透かし攻撃は、$\ell_\infty$ ノルムで測定された摂動強度が ${2}/{255}$ の場合は顔照合精度が 67.2%、強度が ${2}/{255}$ の場合は 95.9% 低下します。
${4}/{255}$。

要約(オリジナル)

Watermarking is an essential technique for embedding an identifier (i.e., watermark message) within digital images to assert ownership and monitor unauthorized alterations. In face recognition systems, watermarking plays a pivotal role in ensuring data integrity and security. However, an adversary could potentially interfere with the watermarking process, significantly impairing recognition performance. We explore the interaction between watermarking and adversarial attacks on face recognition models. Our findings reveal that while watermarking or input-level perturbation alone may have a negligible effect on recognition accuracy, the combined effect of watermarking and perturbation can result in an adversarial watermarking attack, significantly degrading recognition performance. Specifically, we introduce a novel threat model, the adversarial watermarking attack, which remains stealthy in the absence of watermarking, allowing images to be correctly recognized initially. However, once watermarking is applied, the attack is activated, causing recognition failures. Our study reveals a previously unrecognized vulnerability: adversarial perturbations can exploit the watermark message to evade face recognition systems. Evaluated on the CASIA-WebFace dataset, our proposed adversarial watermarking attack reduces face matching accuracy by 67.2% with an $\ell_\infty$ norm-measured perturbation strength of ${2}/{255}$ and by 95.9% with a strength of ${4}/{255}$.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google