Semi-Adversarial Networks: Convolutional Autoencoders for Imparting Privacy to Face Images
Michigan State University（密歇根州立大学）；International Institute of Information Technology, Hyderabad（海得拉巴国际信息技术研究所）
在本文中，我们设计并评估了一个卷积自动编码器，它可以扰动输入的人脸图像，从而将隐私传递给受试者。具体而言，建议的自动编码器变换输入的人脸图像，使得变换后的图像可以成功地用于人脸识别，但不用于性别分类。为了训练这种自动编码器，我们提出了一种新的训练方案，在这项工作中被称为半对抗训练。通过将由伪性别分类器和伪面部匹配器组成的半对抗模块附加到自动编码器来促进训练。用于训练该网络的目标函数有三个项：一个是确保扰动图像是真实的人脸图像;另一个是确保人脸的性别属性被混淆;第三个是确保由于扰动图像导致的生物识别性能不受影响。大量的实验证实了所提出的架构在扩展性别隐私的人脸图像的功效。
2018-05-03 cs.CV cs.LG
AdvFAS: A robust face anti-spoofing framework against adversarial examples
Anhui University（安徽大学）；Tsinghua University（清华大学）；OPPO Research Institute（OPPO研究院）；East China Normal University（华东师范大学）；Zhongguancun Laboratory（中关村实验室）
本文提出AdvFAS框架，通过利用对抗检测与人脸反欺骗的耦合关系及两个耦合分数区分正确与错误检测的人脸图像，有效提升防御对抗样本的鲁棒性并在干净样本上保持高准确率。
2023-08-04 cs.AI cs.CV
Improving Visual Quality and Transferability of Adversarial Attacks on Face Recognition Simultaneously with Adversarial Restoration
School of Computer Science and Technology, Huazhong University of Science and Technology（华中科技大学计算机科学与技术学院）
提出对抗修复（AdvRestore）方法，利用人脸修复潜扩散模型同时提升对抗人脸样本的视觉质量与可迁移性，实验验证其有效性。
2024-03-19 cs.CV
ReFace: Real-time Adversarial Attacks on Face Recognition Systems
UC San Diego（加州大学圣地亚哥分校）；Peraton Labs（佩拉顿实验室）；Georgia Institute of Technology（佐治亚理工学院）
基于深度神经网络的人脸识别模型已被证明易受对抗性样本的影响。然而，过去的许多攻击需要对手使用梯度下降来解决依赖于输入的优化问题，这使得攻击在实时的【形】不切实际。这些对抗性示例也与被攻击的模型紧密耦合，并且在转移到不同模型时并不成功。在这项工作中，我们提出了ReFace，一个实时的【形】，高度可转移的攻击人脸识别模型的基础上对抗变换网络（ATN）。ATN将对抗性示例生成建模为前馈神经网络。我们发现，纯U-Net ATN的白盒攻击成功率远远低于基于梯度的攻击，如大型人脸识别数据集上的PGD。因此，我们提出了一个新的体系结构的自动柜员机，关闭这一差距，同时保持10000倍的加速比PGD。此外，我们发现，在一个给定的扰动幅度，我们的ATN对抗扰动是更有效地转移到新的人脸识别模型比PGD。ReFace攻击可以在传输攻击设置中成功欺骗商业人脸识别服务，并将AWS SearchFaces API的人脸识别准确率从82%降低到16.4%，将Azure人脸验证准确率从91%降低到50.1%。
2022-06-09 cs.CR cs.CV cs.LG
Adversarial Image Translation: Unrestricted Adversarial Examples in Face Recognition Systems
NEC Corporation（日本电气股份有限公司）
由于深度神经网络（DNN）的最新进展，人脸识别系统在对大量人脸图像进行分类时变得高度准确。然而，最近的研究发现，DNN可能容易受到对抗性示例的影响，这引发了人们对此类系统鲁棒性的担忧。不限于小扰动的对抗性例子可能更严重，因为传统的认证防御可能对它们无效。为了揭示这种对抗性示例的脆弱性，我们提出了一种灵活有效的方法，使用图像翻译技术生成不受限制的对抗性示例。我们的方法使我们能够将源图像转换成任何所需的面部外观与大扰动欺骗目标人脸识别系统。我们的实验结果表明，我们的方法实现了约$90$和$80\%$攻击的成功率下的白盒和黑盒设置，分别和翻译的图像是感知现实，并保持个人的可识别性，而扰动是足够大的，以绕过认证的防御。
2020-01-28 cs.CR cs.CV cs.LG
Adversarial Relighting Against Face Recognition
Tianjin University（天津大学）；Nanyang Technological University（南洋理工大学）；Alibaba Group（阿里巴巴集团）；Cleveland State University（克利夫兰州立大学）
深度人脸识别（FR）在几个具有挑战性的数据集上实现了非常高的准确性，并促进了成功的现实世界应用，甚至对通常被认为是FR系统主要威胁的光照变化表现出很高的鲁棒性。然而，在现实世界中，不同的光照条件下造成的光照变化不能完全覆盖有限的人脸数据集。本文从一个新的角度来研究雷电对FR的威胁，对抗攻击，并识别新任务，即，对抗性再照明给定一张人脸图像，对抗性重光照的目标是产生一个自然重光照的对应物，同时愚弄最先进的深度FR方法。为此，我们首先提出了基于物理模型的对抗性重光照攻击（ARA），表示为基于干扰的对抗性重光照攻击（AQ-ARA）。它在FR系统的物理照明模型和指导下生成自然对抗光，并合成对抗重光照的人脸图像。此外，我们提出了自动预测对抗性重光照攻击（AP-ARA），通过训练对抗性重光照网络（ARNet），根据不同的输入面以一步的方式自动预测对抗性光，允许效率敏感的应用程序。更重要的是，我们建议通过精确的重新照明设备将上述数字攻击转移到物理ARA（PhyARA），使估计的对抗性照明条件在现实世界中重现。我们在三种最先进的深度FR方法上验证了我们的方法，即，FaceNet，ArcFace和CosFace，两个公共数据集。广泛而富有洞察力的结果表明，我们的工作可以生成逼真的对抗性重光照人脸图像，轻松地欺骗人脸识别任务，揭示特定光线方向和强度的威胁。
2022-08-27 cs.CV
Improving Transferability of Adversarial Patches on Face Recognition with Generative Models
RealAI（瑞莱智慧）；Ant Financial（蚂蚁金服）；Tsinghua University（清华大学）；Beijing Institute of Technology（北京理工大学）；Nanyang Technological University（南洋理工大学）
深度卷积神经网络（CNN）极大地提高了人脸识别。最近，这些人脸识别模型已被用于安全敏感应用中的身份认证。然而，深度CNN很容易受到对抗补丁的攻击，这些补丁在物理上是可实现的，并且是隐形的，这对这些模型的实际应用提出了新的安全问题。在本文中，我们使用基于可转移性的对抗补丁来评估人脸识别模型的鲁棒性，其中攻击者对目标模型的可访问性有限。首先，我们扩展了现有的基于转移的攻击技术，以生成可转移的对抗补丁。然而，我们观察到的可转移性是敏感的初始化和退化时的扰动幅度是大的，表示过拟合的替代模型。其次，我们提出了在低维数据流形上正则化对抗补丁。流形由在合法人脸图像上预训练的生成模型表示。通过在流形上进行优化，使用人脸特征作为对抗性扰动，我们表明替代模型和目标模型的响应之间的差距显着减小，表现出更好的可移植性。大量的数字世界的实验进行了证明所提出的方法在黑箱设置的优越性。我们也将所提出的方法应用于物理世界。
2021-08-30 cs.CV cs.LG
Adversarial Mask: Real-World Universal Adversarial Attack on Face Recognition Model
Ben-Gurion University of the Negev（本-古里安大学）；Tel Aviv University（特拉维夫大学）
基于深度学习的面部识别（FR）模型在过去几年中表现出了最先进的性能，即使在COVID-19大流行期间佩戴防护医用口罩变得司空见惯。鉴于这些模型的出色性能，机器学习研究界对挑战其鲁棒性表现出越来越大的兴趣。最初，研究人员在数字领域提出了对抗攻击，后来攻击转移到物理领域。然而，在许多情况下，物理域中的攻击是明显的，并且因此可能在现实世界环境中引起怀疑（例如，机场）。在本文中，我们提出了对抗性面具，这是一种针对最先进的FR模型的物理通用对抗性扰动（UAP），它以精心制作的图案的形式应用于面具上。在我们的实验中，我们检查了对抗掩码到各种FR模型架构和数据集的可转移性。此外，我们通过在织物面罩上打印对抗图案来验证我们的对抗面具在真实世界实验（CCTV用例）中的有效性。在这些实验中，FR系统只能识别3.34%的佩戴口罩的参与者（相比之下，其他评估的口罩最低为83.34%）。我们的实验演示可以在https://youtu.be/_TXkDO5z11w上找到。
2022-09-07 cs.CR cs.CV cs.LG
Detecting Adversarial Faces Using Only Real Face Self-Perturbations
Huazhong University of Science and Technology（华中科技大学）；Google（谷歌）；Software Development Center, Industrial and Commercial Bank of China（中国工商银行软件开发中心）；Salesforce Research（Salesforce研究院）
针对现有对抗人脸防御依赖攻击数据、难应对未知攻击的问题，提出仅用真实人脸自扰动生成伪对抗样本，结合级联检测系统实现对多种未知对抗攻击的有效检测。
2023-05-04 cs.AI cs.CV
RAF: Recursive Adversarial Attacks on Face Recognition Using Extremely Limited Queries
University Of Houston（休斯顿大学）
最近几次成功的人脸识别对抗攻击表明，尽管人脸识别模型取得了显著的进步，但它们在感知和识别方面仍然远远落后于人类的智能。它揭示了深度卷积神经网络（CNN）作为对抗性示例的人脸识别模型的最先进构建模块的脆弱性，这可能会对安全系统造成某些后果。基于恶意的对抗攻击在以前被广泛研究，并被证明对人脸识别模型是成功的。然而，找到每个面的优化扰动需要向目标模型提交大量的查询。在本文中，我们提出了递归对抗攻击的人脸识别使用自动人脸扭曲，需要非常有限的查询数量来欺骗目标模型。而不是一个随机的脸扭曲过程中，扭曲功能被应用在特定的检测区域的脸，如眉毛，鼻子，嘴唇等，我们评估的鲁棒性，提出的方法在基于决策的黑盒攻击设置，攻击者无法访问的模型参数和梯度，但硬标签的预测和置信度得分提供的目标模型。
2022-07-04 cs.CV
Adversarial Light Projection Attacks on Face Recognition Systems: A Feasibility Study
Visa Research（Visa研究院）；Michigan State University（密歇根州立大学）
基于深度学习的系统已被证明在数字和物理领域都容易受到对抗攻击的攻击。虽然可行，但数字攻击在攻击部署的系统（包括面部识别系统）方面的适用性有限，其中对手通常可以访问输入而不是传输信道。在这种情况下，通过输入通道直接提供恶意输入的物理攻击构成了更大的威胁。我们研究了使用对抗性光投影对人脸识别系统进行实时物理攻击的可行性。一个由商用网络摄像头和投影仪组成的装置被用来进行攻击。对手使用变换不变的对抗模式生成方法来使用对手可用的目标的一个或多个图像来生成数字对抗模式。然后，数字对抗模式被投射到物理域中的对手的脸上，以模仿目标（模仿）或逃避识别（混淆）。我们使用两个开源和一个商业人脸识别系统对50名受试者进行了初步实验。我们的实验结果表明，在白盒和黑盒攻击设置的光投影攻击的人脸识别系统的脆弱性。
2020-04-17 cs.CV cs.LG eess.IV
Toward Face Biometric De-identification using Adversarial Examples
Universidad Autonoma de Madrid（马德里自治大学）；University of Twente（特文特大学）
人脸识别（FR）的巨大成功已经危及互联网用户的隐私，特别是在社交媒体上。最近，研究人员转向使用对抗性例子作为对策。在本文中，我们评估了使用两种广为人知的对抗方法（BIM和ILLC）去识别个人图像的有效性。我们发现，与文献中先前的声明不同，要获得对人类视觉系统具有不可感知的对抗性扰动的高保护成功率（抑制识别率）并不容易。最后，我们发现对抗性示例的可移植性受到生成它们的网络的训练参数的高度影响。
2023-02-07 cs.CR cs.CV cs.LG
Adversarial Watermarking for Face Recognition
Michigan State University（密歇根州立大学）
本文提出一种新颖的人脸识别对抗性水印攻击方法，该方法在无水印时保持隐蔽，应用水印后激活攻击，在 CASIA-WebFace 数据集上最高可使人脸匹配准确率下降 95.9%。
2024-09-24 cs.AI cs.CV
On adversarial patches: real-world attack on ArcFace-100 face recognition system
Skolkovo Institute of Science and Technology（斯科尔科沃科学技术学院）；Intelligent Systems Lab（智能系统实验室）；Huawei Moscow Research Center（华为莫斯科研究中心）
最近的工作表明，在数字域的对抗攻击的图像分类的脆弱性。然而，大多数攻击涉及向图像添加小扰动以欺骗分类器。不幸的是，这样的程序不能用于进行现实世界的攻击，在现实世界中，向照片添加对抗属性是一种更实用的方法。在本文中，我们研究了现实世界中的人脸识别系统的攻击问题。我们研究了最好的公共人脸识别系统之一，LResNet 100 E-IR与ArcFace损失的安全性，并提出了一种简单的方法来攻击它在物理世界中。该方法建议创建一个可以打印的对抗补丁，添加为面部属性并拍照;然后将具有这种属性的人的照片传递给分类器，使得分类器的识别类从正确的变为所需的。所提出的生成过程允许不仅在面部的不同区域（例如鼻子或前额）上，而且在一些可穿戴配件（例如眼镜）上投射对抗性补丁。
2020-04-01 cs.CR cs.CV cs.LG
Adversarial Training for Face Recognition Systems using Contrastive Adversarial Learning and Triplet Loss Fine-tuning
UCF（中佛罗里达大学）
虽然在提高面部识别系统的对抗鲁棒性方面已经做了很多工作，但令人惊讶的是，其中很小一部分集中在自我监督方法上。在这项工作中，我们提出了一种将对抗性预训练与三重损失对抗性微调相结合的方法。我们将我们的方法与预先训练的ResNet50模型进行了比较，该模型构成了FaceNet的主干，并在我们的CelebA数据集上进行了微调。通过比较没有对抗训练的对抗鲁棒性，与三重损失对抗训练，以及我们的对比预训练与三重损失对抗微调相结合，我们发现我们的方法在微调过程中需要更少的时期，取得了相当的结果。这看起来很有希望，增加微调的训练时间应该会产生更好的结果。除此之外，还进行了一个改进的半监督实验，该实验证明了通过引入少量标签来改进对比对抗训练。
2021-10-09 cs.CV
Controllable Evaluation and Generation of Physical Adversarial Patch on Face Recognition
RealAI（瑞莱智慧）；Tsinghua University（清华大学）
最近的研究揭示了人脸识别模型对物理对抗补丁的脆弱性，这引发了对部署的人脸识别系统的安全担忧。然而，在复杂的物理条件下，大多数攻击算法的可重复性仍然是一个挑战，这导致现有的攻击方法缺乏系统的评估。因此，必须制定一个框架，可以全面评估在物理世界中的人脸识别的脆弱性。为此，我们建议通过3D人脸建模来模拟物理世界中人脸的复杂变换，3D人脸建模可以作为物理人脸的数字对应物。通用框架允许我们控制不同的面部变化和身体条件，以全面地进行可再现的评估。在此基础上，我们进一步提出了一种考虑三维人脸变换和真实物理变化的Face3DAdv方法。大量的实验验证了Face3DAdv可以显着提高模拟和物理环境中各种物理可实现的对抗补丁的有效性，对抗各种白盒和黑盒人脸识别模型。
2022-03-10 cs.CV
Universal Adversarial Spoofing Attacks against Face Recognition
NEC Corporation（日本电气股份有限公司）；LINE Corporation（LINE公司）
我们评估了深度人脸识别系统针对同时伪造/欺骗多个身份的图像的漏洞。我们证明，通过使用我们提出的通用对抗性欺骗示例（UAX）在像素级添加难以察觉的小扰动来操纵从人脸图像中提取的深度特征表示，可以欺骗人脸验证系统识别人脸图像属于多个不同的身份，成功率很高。用我们的方法制作的UAX的一个特点是它们是通用的（身份不可知的）;即使对事先不知道的身份，它们也是成功的。对于某个深度神经网络，我们证明了我们能够欺骗几乎所有的测试身份（99%），包括那些事先不知道的身份（不包括在训练中）。我们的研究结果表明，多身份攻击是一个真正的威胁，在部署人脸识别系统时应该考虑到。
2021-10-02 cs.CR cs.CV cs.LG
PrivacyNet: Semi-Adversarial Networks for Multi-attribute Face Privacy
Michigan State University（密歇根州立大学）；University of Wisconsin – Madison（威斯康星大学麦迪逊分校）
最近的研究已经建立了从个人的面部图像中以高精度推断诸如年龄、性别和种族等软生物特征属性的可能性。然而，这引起了隐私问题，特别是当为生物识别目的收集的面部图像在未经个人同意的情况下用于属性分析时。为了解决这个问题，我们开发了一种技术，通过图像扰动方法赋予软生物特征隐私的人脸图像。图像扰动是使用基于GAN的半对抗网络（SAN）（称为PrivacyNet）进行的，该网络修改输入面部图像，使其可以被面部匹配器用于匹配目的，但不能被属性分类器可靠地使用。此外，PrivacyNet允许人选择必须在输入面部图像中模糊的特定属性（例如，年龄和种族），同时允许提取其他类型的属性（例如，性别）。使用多个人脸匹配器，多个年龄/性别/种族分类器和多个人脸数据集的广泛实验证明了所提出的多属性隐私增强方法在多个人脸和属性分类器上的通用性。
2021-03-14 cs.CR cs.CV cs.LG
Fast Geometrically-Perturbed Adversarial Faces
West Virginia University（西弗吉尼亚大学）
深度学习算法的最新性能使得机器学习在安全敏感和关键应用中的利用率大幅提高。然而，最近的研究表明，输入空间中一个小而精心制作的扰动可以完全欺骗深度模型。在这项研究中，我们探讨了人脸识别系统在多大程度上容易受到几何扰动的敌对面孔。我们提出了一种快速的地标操作方法来生成对抗性的人脸，这是大约200倍的速度比以前的几何攻击，并获得99.86%的成功率在国家的最先进的人脸识别模型。为了进一步使生成的样本更自然，我们引入了第二次攻击，该攻击限制在人脸的语义结构上，其速度只有第一次攻击的一半，成功率为99.96%。这两种攻击对最先进的防御方法都非常强大，成功率等于或大于53.59%。代码可在https://github.com/alldbi/FLM上获得
2018-09-28 cs.CR cs.CV cs.LG
Towards Effective Adversarial Textured 3D Meshes on Physical Face Recognition
Tsinghua University（清华大学）；Peking University（北京大学）；Zhongguancun Laboratory（中关村实验室）
人脸识别是众多生物识别应用中的主流认证解决方案。物理对抗攻击作为一种重要的替代手段，可以在部署前识别人脸识别系统的弱点，评估其鲁棒性。然而，大多数现有的物理攻击要么容易检测到，要么对商业识别系统无效。这项工作的目标是开发一种更可靠的技术，可以对商业系统的对抗鲁棒性进行端到端的评估。它要求该技术能够同时欺骗黑盒识别模型和逃避防御机制。为了实现这一点，我们设计了对抗性纹理3D网格（AT3D），在人脸上具有精心设计的拓扑结构，可以3D打印并粘贴在攻击者的脸上以逃避防御。然而，基于网格的优化机制在高维网格空间中计算梯度，并且可能陷入局部最优，具有不令人满意的可移植性。为了与基于网格的空间不同，本文提出了基于3D Morphable Model的低维系数空间扰动方法，在提高黑盒可移植性的同时，提高了搜索效率和视觉质量。在数字和物理场景中的大量实验表明，我们的方法有效地探索了多个流行的商业服务的安全漏洞，包括三个识别API，四个反欺骗API，两个流行的手机和两个自动访问控制系统。
2023-03-28 cs.AI cs.CV
Transferable Adversarial Facial Images for Privacy Protection
School of Software Engineering, Huazhong University of Science and Technology（华中科技大学软件学院）；School of Computer Science and Technology, Huazhong University of Science and Technology（华中科技大学计算机科学与技术学院）；School of Cyber Science and Engineering, Huazhong University of Science and Technology（华中科技大学网络空间安全学院）
针对黑盒下面部隐私保护难题，提出通过全局对抗隐变量搜索与关键点正则化生成自然、高可迁移对抗人脸图像的方法。
2024-07-18 cs.AI cs.CV
Efficient Decision-based Black-box Adversarial Attacks on Face Recognition
Tsinghua University（清华大学）；Tencent AI Lab（腾讯AI实验室）；Hong Kong University of Science and Technology（香港科技大学）
近年来，由于深度卷积神经网络（CNN）的巨大改进，人脸识别取得了显著的进展。然而，深度CNN很容易受到对抗性示例的影响，这可能会在具有安全敏感目的的真实世界人脸识别应用中造成致命的后果。对抗攻击被广泛研究，因为它们可以在部署模型之前识别模型的脆弱性。在本文中，我们评估了最先进的人脸识别模型在基于决策的黑盒攻击环境中的鲁棒性，其中攻击者无法访问模型参数和梯度，但只能通过向目标模型发送查询来获取硬标签预测。这种攻击设置在现实世界的人脸识别系统中更实用。为了提高现有方法的效率，我们提出了一种进化攻击算法，该算法可以对搜索方向的局部几何形状进行建模，并降低了搜索空间的维数。大量的实验表明，该方法的有效性，诱导一个最小的扰动，以较少的查询输入的人脸图像。我们还应用所提出的方法来攻击一个真实世界的人脸识别系统成功。
2019-04-09 cs.CR cs.CV cs.LG
Physical-World Optical Adversarial Attacks on 3D Face Recognition
The Hong Kong Polytechnic University（香港理工大学）；Chongqing University（重庆大学）
2D人脸识别已被证明对于物理对抗攻击是不安全的。然而，很少有研究调查攻击真实世界3D人脸识别系统的可能性。最近提出的3D打印攻击无法在空中生成对抗点。在本文中，我们通过精心制作的光学噪声攻击三维人脸识别系统。我们将结构光3D扫描仪作为我们的攻击目标。端到端攻击算法被设计为通过固有的或附加的投影仪来生成3D人脸的对抗性照明，以在任意位置产生对抗性点。然而，面部反射是一个复杂的过程，因为皮肤是半透明的。为了将这个投影和捕获过程纳入优化循环，我们使用朗伯渲染模型对其进行建模，并使用SfSNet来估计最大值。此外，为了提高抵抗距离和角度变化的能力，同时保持扰动不明显，引入了3D变换不变损失和两种灵敏度图。实验在模拟和物理世界中进行。我们成功地攻击了基于点云和基于深度图像的3D人脸识别算法，同时比以前最先进的物理世界3D对抗攻击需要更少的扰动。
2022-11-13 cs.CR cs.CV eess.IV
Adversarial Discriminative Heterogeneous Face Recognition
National Laboratory of Pattern Recognition, CASIA（模式识别国家重点实验室，中国科学院自动化研究所）；Center for Research on Intelligent Perception and Computing, CASIA（智能感知与计算研究中心，中国科学院自动化研究所）；Center for Excellence in Brain Science and Intelligence Technology, CAS（脑科学与智能技术卓越创新中心，中国科学院）；University of Chinese Academy of Sciences（中国科学院大学）
在异构人脸识别（HFR）中，不同人脸模态的感知模式之间的差距仍然是一个具有挑战性的问题。本文提出了一个对抗性的区别性特征学习框架，通过在原始像素空间和紧凑特征空间上的对抗性学习来缩小感知差距。该框架将跨光谱人脸幻觉和判别特征学习集成到端到端对抗网络中。在像素空间中，我们利用生成对抗网络来执行跨光谱人脸超分辨率。引入了一种精细的双路径模型来缓解图像配对不足的问题，该模型兼顾了全局结构和局部纹理。在特征空间中，分别采用对抗损失和高阶方差差异损失来度量两个异质分布之间的全局差异和局部差异。这两个损失增强了域不变特征学习和模态独立噪声去除。在三个NIR-VIS数据库上的实验结果表明，该方法在不需要复杂网络或大规模训练数据集的情况下，性能优于现有的HFR方法。
2017-09-12 cs.CV
Similarity-based Gray-box Adversarial Attack Against Deep Face Recognition
School of Information Technology, Monash University Malaysia（蒙纳士大学马来西亚校区信息技术学院）；Data61, CSIRO（澳大利亚联邦科学与工业研究组织 Data61）；Faculty of Computer Science and Technology, Wenzhou University（温州大学计算机科学与技术学院）；Monash Suzhou Research Institute（蒙纳士苏州研究院）；Department of Data Science and AI, Monash University（蒙纳士大学数据科学与人工智能系）；The University of Sassari（萨萨里大学）
大多数对抗攻击技术在揭示系统的全部知识（\emph{white-box}）时对深度人脸识别表现良好。然而，这样的技术在灰箱设置中不成功，其中面部模板对攻击者是未知的。在这项工作中，我们提出了一个基于相似性的灰盒对抗攻击（SGADV）技术与新开发的目标函数。SGADV利用相异性分数来产生优化的对抗性示例，即，基于相似性的对抗攻击。该技术适用于针对认证系统的白盒和灰盒攻击，这些认证系统使用相异性分数来确定真实用户或冒名顶替者。为了验证SGADV的有效性，我们在白盒和灰盒设置中对LFW，CelebA和CelebA-HQ的人脸数据集进行了广泛的实验，以对抗FaceNet和InsightFace的深度人脸识别模型。实验结果表明，该方法在灰盒环境下的性能明显优于现有的对抗攻击技术。因此，我们总结说，基于相似性的方法来开发对抗性的例子可以令人满意地满足灰盒攻击的情况下，取消身份验证。
2022-01-12 cs.CV
A Survey on Physical Adversarial Attacks against Face Recognition Systems
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；School of Cyber Security, University of Chinese Academy of Sciences（中国科学院大学网络空间安全学院）；Nanyang Technological University（南洋理工大学）
本文系统综述了针对人脸识别系统的物理对抗攻击，按物理介质对现有方法分类并梳理其应对关键挑战的演进过程，同时回顾防御策略并展望未来研究方向。
2024-10-10 cs.AI cs.CR cs.CV
Towards Transferable Adversarial Attack against Deep Face Recognition
Beijing University of Posts and Telecommunications（北京邮电大学）
由于深度学习方法的发展，人脸识别在最近五年取得了巨大的成功。然而，已经发现深度卷积神经网络（DCNN）容易受到对抗性示例的影响。特别是，可转移对抗性示例的存在可能严重阻碍DCNN的鲁棒性，因为这种类型的攻击可以以完全黑盒的方式应用，而无需对目标系统进行查询。在这项工作中，我们首先研究了可转移的对抗攻击在人脸识别中的特点，通过显示的优势，特征级的方法比标签级的方法。然后，为了进一步提高特征级对抗示例的可移植性，我们提出了DFANet，这是一种用于卷积层的基于丢弃的方法，它可以增加代理模型的多样性并获得类似集合的效果。在各种训练数据库、损失函数和网络结构的最新人脸模型上进行的大量实验表明，该方法可以显着增强现有攻击方法的可移植性。最后，通过将DFANet应用于LFW数据库，我们生成了一组新的对抗性人脸对，可以成功攻击四个商业API，而无需任何查询。这个TALFW数据库可用于促进深度人脸识别的鲁棒性和防御的研究。
2020-11-23 cs.CV
RSTAM: An Effective Black-Box Impersonation Attack on Face Recognition using a Mobile and Compact Printer
Nanjing University（南京大学）
得益于深度神经网络的发展，人脸识别近年来取得了长足的进步，但最近发现，深度神经网络容易受到对抗性样本的影响。这意味着基于深度神经网络的人脸识别模型或系统也容易受到对抗性样本的影响。然而，现有的攻击人脸识别模型或系统的方法可以有效地完成白盒攻击，而不是黑盒模仿攻击，物理攻击，或方便的攻击，特别是对商业人脸识别系统。在本文中，我们提出了一种新的方法来攻击人脸识别模型或系统，称为RSTAM，它可以使用移动和紧凑的打印机打印的对抗性面具进行有效的黑盒模仿攻击。首先，RSTAM通过我们提出的随机相似性转换策略增强了对抗面具的可转移性。此外，我们提出了一种随机元优化策略，用于集成多个预训练的人脸模型，以生成更通用的对抗面具。最后，我们在CelebA-HQ，LFW，Makeup Transfer（MT）和CASIA-FaceV 5数据集上进行了实验。攻击的性能也在最先进的商业人脸识别系统上进行了评估：Face++，百度，阿里云，腾讯和微软。大量的实验表明，RSTAM可以有效地执行黑盒模仿攻击的人脸识别模型或系统。
2022-06-25 cs.CV
Two-Face: Adversarial Audit of Commercial Face Recognition Systems
Indian Institute of Technology Kharagpur（印度理工学院卡拉格普尔分校）
自动人脸检测等计算机视觉应用可用于各种目的，从解锁智能设备到跟踪潜在的感兴趣人员进行监视。对这些申请的审计表明，它们往往对少数群体有偏见，导致不公平和令人担忧的社会和政治结果。尽管随着时间的推移进行了多项研究，但这些偏见并没有完全减轻，事实上在某些任务中，如年龄预测，这些偏见有所增加。虽然这些系统是在基准数据集上进行审计的，但有必要评估它们对对抗性输入的鲁棒性。在这项工作中，我们对多个系统和数据集进行了广泛的对抗性审计，提出了一些令人担忧的观察结果-自上次审计以来，CELEBSET数据集上的某些任务的准确性有所下降。虽然对于多个数据集，对来自少数群体的个人的准确性仍然存在偏见，但更令人担忧的观察是，这些偏见往往会随着对少数群体的敌对输入而变得过于明显。最后，我们根据这些意见讨论了更广泛的社会影响，并就如何集体处理这一问题提出了一些建议。
2021-11-17 cs.CV
Masked Faces with Faced Masks
East China Normal University（华东师范大学）；Nanyang Technological University（南洋理工大学）；Alibaba Group（阿里巴巴集团）
现代人脸识别系统（FRS）在受试者戴口罩时仍然存在不足，这是呼吸道流行病时代的一个常见主题。一个直观的部分补救措施是添加一个掩码检测器来标记任何被掩蔽的面部，以便FRS可以相应地对那些低置信度的被掩蔽的面部采取行动。在这项工作中，我们着手调查配备面具检测器的FRS在大规模蒙面面孔上的潜在脆弱性，这可能引发严重的风险，例如，让疑犯在面部身份和面具都无法被发现的情况下逃避财务汇报系统。由于现有的人脸识别器和面具检测器在各自的任务中具有很高的性能，因此同时欺骗它们并保持攻击的可转移性是非常具有挑战性的。我们制定了新的任务作为现实的和敌对的脸面具的生成，并作出了三个主要贡献：首先，我们研究了朴素的Delanunay为基础的掩蔽方法（DM）来模拟戴面具的过程，从模板图像裁剪，这揭示了这个新的任务的主要挑战。其次，我们进一步配备了对抗性噪声攻击的DM，并提出了对抗性噪声Delaunay的掩蔽方法（AdvNoise-DM），可以欺骗人脸识别和面具检测有效，但使人脸不自然。第三，我们提出了一种基于Delaunay的对抗性滤波掩模方法MF 2 M，该方法将对抗性滤波应用于AdvNoise-DM，获得了更自然的人脸。在上述努力下，最终版本不仅导致基于最先进（SOTA）深度学习的FRS性能显著下降，而且仍然未被SOTA面膜检测器检测到，从而成功地同时欺骗了两个系统。
2022-04-12 cs.AI cs.CV
Human-Imperceptible Physical Adversarial Attack for NIR Face Recognition Models
School of Computer Science and Technology, China University of Mining and Technology（中国矿业大学（北京）计算机科学与技术学院）；Department of Computer Science, City University of Hong Kong（香港城市大学计算机科学系）；Department of Engineering and Design, Technische Universität München（慕尼黑工业大学工程与设计系）
针对近红外人脸识别系统，提出利用不可感知红外墨水生成物理对抗补丁，通过反射模型优化，实现黑盒攻击，平均成功率82.46%，优于现有方法。
2025-04-22 cs.AI cs.CV
Non-Adaptive Adversarial Face Generation
Department of Mathematics & Research Institute for Natural Sciences, Hanyang University（数学系与自然科学院，翰阳大学）
本文提出一种非自适应对抗人脸生成方法，利用FRS特征空间的属性子球面结构，仅需一次包含100张图像的查询，即可在AWS CompareFaces API上实现超93%的攻击成功率，并能按攻击者意图定制高级属性。
2025-07-16 cs.AI cs.CR cs.CV
Rethinking the Threat and Accessibility of Adversarial Attacks against Face Recognition Systems
National University of Singapore（新加坡国立大学）；Ping An Technology（平安科技）；CSIRO’s Data61（联邦科学与工业研究组织Data61）；Swinburne University of Technology（斯威本科技大学）
该研究从行业视角重新评估人脸识别对抗攻击威胁，提出易实施的物理攻击AdvColor，实验显示其高攻击成功率，调研发现可感知易实现攻击对商用系统威胁更大。
2024-07-11 cs.CV
Improving the Transferability of Adversarial Attacks on Face Recognition with Beneficial Perturbation Feature Augmentation
针对人脸识别模型易受对抗样本攻击的问题，提出基于难模型概念的BPFA攻击方法，通过特征图有益扰动降低对抗样本过拟合，显著提升攻击可迁移性。
2023-07-19 cs.CV
Attacks on State-of-the-Art Face Recognition using Attentional Adversarial Attack Generative Network
Beijing University of Posts and Telecommunications（北京邮电大学）
随着人脸识别技术的广泛应用，其易受攻击的弱点也逐渐暴露出来。因此，研究人脸识别网络如何受到攻击是非常重要的。在本文中，我们专注于一种新的方法来做对人脸识别网络的攻击，误导网络识别某人作为目标的人不误分类不显眼。同时，为了这个目的，我们引入了一个特定的注意力对抗攻击生成网络来生成虚假的人脸图像。为了捕捉目标人物的语义信息，本文增加了条件变分自编码器和注意力模块来学习人脸之间的实例级对应关系。与传统的两人GAN不同，本文引入人脸识别网络作为第三方参与生成器和攻击者之间的竞争，使得攻击者能够更好地模仿目标人物。生成的人脸很难引起旁观者的注意，可以逃避识别的国家的最先进的网络和他们中的大多数被识别为目标人物。
2018-11-30 cs.CV
Adversarial Attacks on Both Face Recognition and Face Anti-spoofing Models
School of Computer Science and Technology, Huazhong University of Science and Technology（华中科技大学计算机科学与技术学院）；College of Computer Science and Technology, Jilin University（吉林大学计算机科学与技术学院）；Key Laboratory of Symbolic Computation and Knowledge Engineering of Ministry of Education, JLU（教育部符号计算与知识工程重点实验室）；Department of Computer Science and Software Engineering, The University of Western Australia（西澳大学计算机科学与软件工程系）
针对现有对抗攻击在集成人脸反欺骗模型的完整人脸识别系统中实用性不足的问题，提出无参考多级对齐黑盒攻击方法，通过三个核心组件同时攻击两类模型，性能优于现有最先进方法。
2025-05-17 cs.CV
Investigating Adversarial Robustness against Preprocessing used in Blackbox Face Recognition
本文研究黑盒人脸识别中预处理对对抗攻击迁移的影响，发现人脸检测可显著降低攻击成功率，并提出输入变换的预处理不变方法，将攻击可迁移性最高提升27%。
2025-10-20 cs.CV
Towards Intrinsic Common Discriminative Features Learning for Face Forgery Detection using Adversarial Learning
University of Science and Technology of China（中国科学技术大学）
现有的人脸伪造检测方法通常将人脸伪造检测视为二值分类问题，并采用深度卷积神经网络来学习鉴别特征。理想的鉴别特征应该只与人脸图像的真假标签相关。然而，我们观察到香草分类网络学习的特征与不必要的属性相关，例如伪造方法和面部身份。这种现象将限制伪造检测性能，特别是对于泛化能力。受此启发，我们提出了一种新的方法，该方法利用对抗学习来消除不同伪造方法和面部身份的负面影响，这有助于分类网络学习用于面部伪造检测的内在共同鉴别特征。为了利用缺乏真实人脸标签的数据，我们设计了一个特殊的身份识别器，基于来自现成的人脸识别模型的相似性信息。在对抗性学习的帮助下，我们的人脸伪造检测模型通过消除伪造方法和面部身份的影响来学习提取常见的鉴别特征。大量的实验证明了该方法在数据集内和跨数据集评估设置下的有效性。
2022-07-08 cs.CV
Rethinking Impersonation and Dodging Attacks on Face Recognition Systems
Huazhong University of Science and Technology（华中科技大学）；Shanghai Jiao Tong University（上海交通大学）；Shanghai Shizhuang Information Technology Co., Ltd（上海石庄信息技术有限公司）；La Trobe University（拉筹伯大学）
针对黑盒场景下人脸识别仿冒攻击难同时实现规避攻击的问题，提出包含三阶段的Adv-Pruning攻击方法，可在保留仿冒能力的同时增强规避能力，性能优于现有最先进方法。
2024-08-18 cs.CV cs.LG
Examining the Human Perceptibility of Black-Box Adversarial Attacks on Face Recognition
Boston University（波士顿大学）
现代开放的互联网包含数十亿张人脸的公共图像，特别是在世界一半人口使用的社交媒体网站上。在这种情况下，人脸识别（FR）系统有可能将人脸与特定的姓名和身份进行匹配，从而产生明显的隐私问题。对抗攻击是一种很有前途的方式，通过破坏用户识别人脸的能力来授予用户来自FR系统的隐私。然而，人类观察者可以察觉到这种攻击，特别是在更具挑战性的黑盒威胁模型下。在文献中，这种攻击的不可感知性的理由取决于边界度量，如$\ell_p$规范。然而，关于这些规范如何与人类感知相匹配的研究并不多。通过检查和测量最近的黑盒攻击在人脸识别环境中的有效性及其相应的人类感知，通过调查数据，我们证明了在感知的权衡，发生攻击变得更加积极。我们还展示了$\ell_2$规范和其他指标如何不与人类的感知性以线性方式相关，从而使这些规范在测量对抗攻击感知性时次优。
2021-07-19 cs.CV
Perturbation Inactivation Based Adversarial Defense for Face Recognition
University of Chinese Academy of Sciences（中国科学院大学）；Institute of Automation, Chinese Academy of Sciences（中国科学院自动化研究所）；China Academy of Railway Sciences（中国铁道科学研究院）；CAS Center for Excellence in Brain Science and Intelligence Technology（中国科学院脑科学与智能技术卓越创新中心）
基于深度学习的人脸识别模型容易受到对抗攻击。为了遏制这些攻击，大多数防御方法旨在提高识别模型对对抗性扰动的鲁棒性。然而，这些方法的推广能力是相当有限的。在实践中，它们仍然容易受到看不见的对抗攻击。深度学习模型对一般扰动（如高斯噪声）具有相当强的鲁棒性。一个直接的方法是将对抗扰动进行分类，以便它们可以很容易地作为一般扰动处理。本文提出了一种即插即用的对抗防御方法--扰动失活（PIN），用于消除对抗性扰动，实现对抗性防御。我们发现不同子空间的扰动对识别模型有不同的影响。应该有一个子空间，称为免疫空间，其中的扰动对识别模型的不利影响比在其他子空间。因此，我们的方法估计免疫空间，并通过将它们限制在这个子空间来灭活对抗性扰动。由于该方法不依赖于特定的对抗攻击方法，因此可以推广到不可见的对抗扰动。这种方法不仅优于几种最先进的对抗性防御方法，而且通过详尽的实验证明了优越的泛化能力。此外，所提出的方法可以成功地应用于四个商业API，而无需额外的训练，这表明它可以很容易地推广到现有的人脸识别系统。源代码可在https://github.com/RenMin1991/Perturbation-Inactivate上获得
2022-07-13 cs.CV
Suppressing Spoof-irrelevant Factors for Domain-agnostic Face Anti-spoofing
Kakao Enterprise
人脸反欺骗旨在通过区分图像是来自人脸还是来自欺骗介质来防止人脸识别系统的错误认证。我们提出了一种称为双重对抗抑制网络（Doubly Adversarial Suppression Network，DNF）的新方法，用于域不可知的人脸反欺骗; DNF通过学习有效抑制欺骗无关因素（Spoof-Relevant Factor，SiF）（例如，照相机传感器、照明）。为了实现我们的目标，我们引入了两种类型的对抗学习方案。在第一个对抗学习方案中，通过部署针对编码器训练的多个鉴别头来抑制多个SIF。在第二对抗学习方案中，每个鉴别头也被对抗训练以抑制欺骗因子，并且次级欺骗分类器和编码器的组旨在通过克服抑制来加强欺骗因子。在四个公共基准数据集上对该方法进行了测试，取得了显著的测试结果.结果表明了该方法的有效性。
2020-12-02 cs.CV
Improving Heterogeneous Face Recognition with Conditional Adversarial Networks
彩色图像和深度图像之间的异构人脸识别对于其中形状信息被视为仅涉及图库的现实世界应用是非常期望的能力。在本文中，我们提出了一种跨模态深度学习方法，作为应对这一挑战的有效和高效的解决方案。具体来说，我们首先学习两个卷积神经网络（CNN）来分别提取2D和2.5D人脸特征。一旦经过训练，它们可以作为另一个双向CNN的预训练模型，该模型探索颜色和深度之间的相关部分，以进行异构匹配。与大多数传统的交叉模态方法相比，我们的方法还使用条件生成对抗网络（cGAN）从单色图像进行精确的深度图像重建，并通过融合多模态匹配结果进一步提高识别性能。通过在基准FRGC 2D/3D人脸数据库上的定性和定量实验，我们证明了所提出的流水线在异构人脸识别上的性能优于最先进的性能，并确保了一个非常有效的在线阶段。
2017-09-13 cs.CV
Spoof Face Detection Via Semi-Supervised Adversarial Training
East China Normal University（华东师范大学）；Deakin University（迪肯大学）
人脸欺骗给人脸识别系统带来了严重的安全威胁。以前的反欺骗工作主要集中在监督技术上，通常使用二进制或辅助监督。他们中的大多数遭受有限的鲁棒性和泛化，特别是在跨数据集设置。在本文中，我们提出了一个半监督的对抗性学习框架的欺骗人脸检测，这在很大程度上放松了监督条件。为了在潜在表示空间中捕获实时人脸数据的底层结构，我们建议仅对实时人脸数据进行训练，并使用卷积编码器-解码器网络作为生成器。同时，我们添加了第二个卷积网络作为鉴别器。生成器和人脸识别器通过相互竞争进行训练，同时合作理解普通类（活面孔）中的基本概念。由于欺骗面部检测是基于视频的（即，时间信息），我们直观地将从连续视频帧转换的光流图作为输入。我们的方法是免费的欺骗的脸，因此是强大的和一般的不同类型的欺骗，甚至未知的欺骗。对数据集内和跨数据集测试的大量实验表明，我们的半监督方法与最先进的监督技术相比，取得了更好或相当的结果。
2020-05-22 cs.CV
Stealthy Physical Masked Face Recognition Attack via Adversarial Style Optimization
The University of Sydney（悉尼大学）；University of New South Wales Canberra（新南威尔士大学堪培拉分校）；CSIRO（澳大利亚联邦科学与工业研究组织）
本文提出一种隐蔽物理蒙面人脸识别攻击方法，通过对抗风格优化训练风格口罩生成器并联合优化风格选择，实现针对人脸识别模型的有效有目标攻击。
2023-09-18 cs.CV
Privacy-preserving Adversarial Facial Features
ZJU-Hangzhou Global Scientific and Technological Innovation Center（浙江大学杭州国际科创中心）；Alibaba Group（阿里巴巴集团）；College of Computer Science and Electronic Engineering, Hunan University（湖南大学计算机与电子工程学院）；School of Cyber Science and Engineering, Wuhan University（武汉大学网络空间安全学院）；School of Cyber Science and Technology, Zhejiang University（浙江大学网络空间安全学院）
本文提出AdvFace方法，通过影子模型生成对抗性特征以破坏特征到图像的映射，抵御重建攻击，无需修改识别网络，且保持识别精度。
2023-05-08 cs.CV
DiffAM: Diffusion-based Adversarial Makeup Transfer for Facial Privacy Protection
University of Science and Technology of China（中国科学技术大学）
针对人脸识别系统滥用导致的面部隐私泄露问题，提出基于扩散模型的对抗妆容迁移方法DiffAM，通过卸妆模块建立妆域关系，结合CLIP妆容损失与集成攻击，生成高视觉质量、高黑盒可迁移性的保护图像，黑盒攻击成功率较SOTA提升12.98%。
2024-05-16 cs.AI cs.CV
Adv-Attribute: Inconspicuous and Transferable Adversarial Attack on Face Recognition
Shanghai Jiao Tong University（上海交通大学）；Tencent（腾讯）；Zhejiang University（浙江大学）
深度学习模型在处理对抗攻击时表现出了脆弱性。现有的攻击几乎都是针对像素和超像素等低层实例，很少利用语义线索。对于人脸识别攻击，现有方法通常在像素上产生l_p范数扰动，然而，导致低攻击可移植性和对去噪防御模型的高脆弱性。在这项工作中，而不是执行扰动的低级别的像素，我们建议通过扰动的高级别的语义，以提高攻击的可转移性。具体而言，设计了一个统一的灵活框架，对抗属性（Adv-Attribute），以生成对人脸识别的不显眼和可转移的攻击，该框架根据人脸识别特征与目标的差异指导，制造对抗噪声并将其添加到不同的属性中。此外，引入了重要性感知属性选择和多目标优化策略，进一步保证了隐蔽性和攻击强度的平衡。在FFHQ和CelebA-HQ数据集上进行的大量实验表明，所提出的Adv-Attribute方法实现了最先进的攻击成功率，同时保持了对最近攻击方法的更好的视觉效果。
2022-11-18 cs.CV
Discrete Point-wise Attack Is Not Enough: Generalized Manifold Adversarial Attack for Face Recognition
Eastern Institute for Advanced Study（东方理工高等研究院）
针对点式对抗攻击泛化差易防御的问题，提出广义流形对抗攻击（GMAA），通过将攻击目标从单点扩展至多点并利用连续表情流形，结合双重监督机制，显著提升了对抗样本的泛化能力、攻击效果与视觉质量。
2023-04-08 cs.CV
Adversarial Attacks against Face Recognition: A Comprehensive Study
Amirkabir University of Technology（阿米尔卡比尔理工大学）；Norwegian University of Science and Technology (NTNU i Gjovik)（挪威科技大学（NTNU 约维克校区））
人脸识别（FR）系统已经表现出出色的验证性能，这表明它适用于从社交媒体中的照片标记到自动边境控制（ABC）等现实世界的应用。然而，在具有基于深度学习的架构的高级FR系统中，仅仅提高识别效率是不够的，并且系统还应该承受针对其熟练程度而设计的潜在类型的攻击。最近的研究表明，（深度）FR系统对不可感知或可感知但看起来很自然的对抗性输入图像表现出一种有趣的脆弱性，这种脆弱性会导致模型产生错误的输出预测。在这篇文章中，我们提出了一个全面的调查对抗攻击对FR系统，并阐述了能力的新对策。此外，我们提出了一个分类现有的攻击和防御方法的基础上不同的标准。我们比较了方向和属性上的攻击方法和类别上的防御方法。最后，我们探讨了挑战和潜在的研究方向。
2021-02-06 cs.CR cs.CV cs.LG
Towards Face Encryption by Generating Adversarial Identity Masks
Tsinghua University（清华大学）；Pazhou Lab（琶洲实验室）；RealAI；Alibaba Group（阿里巴巴集团）
随着数十亿的个人数据通过社交媒体和网络共享，数据隐私和安全性越来越受到关注。已经进行了几次尝试来减轻来自面部照片的身份信息的泄漏，例如，图像模糊技术。然而，大多数目前的结果是感知不满意或对人脸识别系统无效。我们在本文中的目标是开发一种技术，可以加密的个人照片，这样他们就可以保护用户未经授权的人脸识别系统，但保持视觉上相同的原始版本的人。为了实现这一点，我们提出了一个有针对性的身份保护迭代法（TIP-IM），以产生对抗性的身份面具，可以覆盖在面部图像，这样，原始身份可以被隐藏，而不牺牲视觉质量。大量的实验表明，TIP-IM提供了95%以上的保护成功率对各种国家的最先进的人脸识别模型在实际的测试场景。此外，我们还展示了我们的方法在商业API服务上的实用性和有效性。
2021-08-16 cs.CR cs.CV cs.LG
DiffAttack: Evasion Attacks Against Face Recognition via Latent Diffusion Models
University of South Florida（南佛罗里达大学）；Bellini College of Artificial Intelligence, Cybersecurity and Computing（贝利尼人工智能、网络安全与计算学院）
该研究针对人脸识别系统易受对抗攻击的问题，提出DiffAttack框架，利用潜在扩散模型生成对抗人脸，在FFHQ、CelebA-HQ等基准上攻击成功率达84.86%，可迁移性优于现有方法。
2026-08-03 cs.AI cs.CV
RobFR: Benchmarking Adversarial Robustness on Face Recognition
Department of Computer Science & Technology, Tsinghua University（清华大学计算机科学与技术系）
人脸识别（FR）最近取得了实质性进展，并在标准基准上实现了高准确性。然而，它在巨大的FR应用中引起了安全问题，因为深度CNN异常容易受到对抗性示例的影响，并且在FR模型部署在安全关键场景之前仍然缺乏全面的鲁棒性评估。为了更好地理解FR上的对抗性漏洞，我们开发了一个FR上的对抗性鲁棒性评估库\textbf{RobFR}，作为评估下游任务鲁棒性的参考。具体而言，RobFR涉及15个流行的自然训练的FR模型，9个具有代表性的防御机制的模型和2个商业FR API服务，使用各种对抗攻击作为重要的替代品来执行鲁棒性评估。评估是在不同的对抗性设置下进行的，包括躲避和模仿、$\ell_2$和$\ell_\infty$以及白盒和黑盒攻击。我们进一步提出了一种地标引导剪切（LGC）攻击方法，通过考虑FR的特殊特性来提高对抗性示例的可移植性。基于大规模评估，商业FR API服务在鲁棒性评估方面未能表现出可接受的性能，并得出了一些重要结论，为理解FR模型的对抗鲁棒性和设计鲁棒FR模型提供了参考模型RobFR是开源的，并维护所有可扩展模块，即，\emph{Datasets}、\emph{FR Models}、\emph{Attacks\&Defenses}和\emph{Evaluations}在\url{https://github.com/ShawnXYang/Face-Robustness-Benchm…
2021-09-29 cs.CV
Decorrelated Adversarial Learning for Age-Invariant Face Recognition
Tencent AI Lab（腾讯人工智能实验室）
年龄不变人脸识别的研究越来越受到人们的关注。然而，匹配年龄差距较大的人脸仍然是一个具有挑战性的问题，主要是由于衰老引起的人脸外观显着差异。为了减少这种差异，在本文中，我们提出了一种新的算法，以消除与年龄相关的组件混合的身份和年龄信息的功能。具体来说，我们将混合人脸特征分解为两个不相关的分量：身份相关分量和年龄相关分量，其中身份相关分量包含对人脸识别有用的信息。为了实现这一想法，我们提出了去相关对抗学习（DAL）算法，其中引入了一个规范映射模块（CMM）来寻找骨干网络生成的配对特征之间的最大相关性，而骨干网络和因子分解模块被训练来生成减少相关性的特征。因此，所提出的模型学习年龄和身份的分解特征，其相关性显着降低。同时，身份相关特征和年龄相关特征分别由身份和年龄保持信号监督，以确保它们都包含正确的信息。在流行的公共领域人脸老化数据集（FG-NET，MORPH Album 2和CACD-VS）上进行了广泛的实验，以证明所提出的方法的有效性。
2019-04-10 cs.CV
