你熟知的那個殺毒軟體公司McAfee,用這種方法騙過護照人臉識別

2020-12-17 機器之心Pro

選自mcafee.com

作者：Steve Povolny、Jesse Chick

機器之心編譯

編輯：杜偉

當你自己與其他人的圖像高度匹配時，人臉識別系統還能發揮其作用嗎？網絡安全公司McAfee生成的對抗性偽圖像就騙過了人臉識別系統。

在進入正文之前，我們先想像一個場景：如果對象 A（正文中的 Jesse）在航空系統的禁飛名單中，因而無法通過機場的護照人臉識別系統，也從未提交過護照照片。那麼有沒有辦法幫助 Jesse 順利地通過護照人臉識別系統呢？

近期，世界最大安全軟體公司之一的邁克菲（McAfee）對此發起了挑戰，成功幫助 Jesse 騙過了護照人臉識別系統，也證明了機器有時較人類更容易出錯。

邁克菲是如何做到的呢？它們引入了對象 B（正文中的 Steve），此人不在禁飛名單中，因而不受任何航空限制。所以關鍵是要利用 Steve 的身份通過護照人臉識別系統，也就是需要提交一張看起來像 Steve 但又能與 Jesse 的實時視頻完全匹配的護照照片。

Jesse 創建了一個攻擊生成模型，其中提取了 1500 張他們兩人的靜態照片作為數據集，通過 CycleGAN 和 FaceNet 進行訓練。在經過數百次訓練迭代後，終於生成了滿足要求的護照照片。

最終，這張看起來像 Steve 的護照照片由 Steve 提交給政府，Jesse 使用 Steve 的護照順利地通過了護照人臉識別系統。

這項挑戰由邁克菲高級威脅研究團隊（McAfee Advanced Threat Research, ATR）發起，參與人員有 ATR 團隊負責人 Steve Povolny以及俄亥俄州立大學大四學生、前邁克菲實習生 Jesse Chick。

接下來我們來看這項研究的技術詳解。

研究用例：護照驗證的實時人臉識別

研究者將用於護照驗證的人臉識別作為研究用例。基於人臉識別的護照驗證概念非常簡單，攝像頭拍攝乘客的實時視頻或者靜態照片，然後驗證服務系統會將它們與以前收集的已有照片進行對比。這些已有照片可能來自護照或者美國國土安全部資料庫等其他來源。

接著，這些實時拍攝的照片被處理成與目標照片類似的格式，包括圖像大小和類型等。如果兩者匹配，則護照持有者得到驗證。如果不匹配，檢查員將會比對登機牌和身份證表格上的照片。

所以，作為一項脆弱性研究，研究者需要分析如何才能破解人臉識別系統，包括預期的操作方法和可能出現的疏忽。他們考慮是否可以利用底層系統的缺陷來騙過目標人臉識別系統。

更具體地講，研究者想知道是否能夠創建護照格式的「對抗性圖像」，然後被誤驗證為目標對象。在此之前，研究者曾進行過針對圖像識別系統的數字和物理介質攻擊。

概念攻擊場景

此外，研究中採用的概念攻擊場景很簡單。研究者將攻擊者稱為「對象 A」（Jesse），他在禁飛名單中。所以，如果他實時拍攝的照片或視頻與存儲的護照照片比對的話，則會立即被拒絕登機並遭到警告，甚至還會被逮捕。

對象 A Jesse。

所以，研究者假設 Jesse 從未提交過護照照片。與此同時，同謀者對象 B（Steve）不在禁飛名單中，他協助 Jesse 騙過護照人臉識別系統。

對象 B Steve。

Jesse 是模型黑客攻擊領域的專家，他通過自己構建的系統生成了 Steve 的一張偽圖像，然後讓 Steve 提交給政府。最為關鍵的是這張提交上去的照片必須看起來像 Steve，又能與 Jesse 的實時視頻完全匹配。這樣才能幫助 Jesse 順利地騙過人臉識別系統。

方法選擇

在偽圖像生成過程中，研究者首先選擇使用了 CycleGAN 框架。但是，在這項人臉識別對抗攻擊測試中又用到了圖像驗證系統，所以需要對 CycleGAN 進行擴展。

所以，他們又用到了 FaceNet。研究者意識到，模型不僅需要準確地創建逼真的對抗性圖像，而且需要將對抗性圖像驗證為目標對象。

最終，考慮到需要首先進行白盒測試，以理解整個框架，研究者選擇將 CycleGAN 和開源的 FaceNet 變體架構 InceptionResnet v1 相結合。

訓練過程

研究者清楚他們需要足夠大的數據集來準確地訓練攻擊生成模型，但在該研究中的數據集要小於很多其他的用例。這是因為他們的研究對象只有兩個人：對象 A Jesse 和對象 B Steve，並在將圖像輸入 FaceNet 時最小化生成的兩個人臉嵌入之間的「距離」，同時保持任意一個方向上的誤分類。

換句話說，護照照片需要看起來像 Steve，又能完全匹配 Jesse 的實時視頻。反過來也是這樣。

研究者在包含 1500 張 Jesse 和 Steve 圖像的數據集上進行訓練，它們都是從實時視頻中捕獲的靜態圖像。此外還提供了多種表情和人臉姿勢，以豐富訓練數據並準確地表示（represent）為想要拍攝有效護照照片的人。

對象 A Jesse 和對象 B Steve。

然後，研究者集成 CycleGAN 和 FaceNet 架構，並開始訓練模型。

如下圖所示，生成器的原始輸出非常粗糙，雖然看起來有幾分像人類，但辨認起來卻非常困難，並且出現了極其明顯的擾動（perturbation）。

但隨著訓練迭代的增加，圖像的視覺展示效果出現了明顯改觀。人臉開始消除一些異常（abnormality），同時融合 Jesse 和 Steve 的特徵。具體效果如下圖所示：

隨著訓練迭代的進一步增加，判別器對生成器的輸出圖像越來越「滿意」。雖然還需要處理一些細節，但生成的圖像越來越像 Steve 了。

數百次訓練迭代之後，研究者終於得到了符合要求的「候選圖像」，它可以作為有效護照照片幫助 Jesse 通過護照人臉識別系統。

Steve 的偽圖像。

可以看到，Steve 的偽圖像足夠真實，能夠令人相信它不是計算機生成的。

Demo 展示

下面的三個 Demo 視頻展示了使用灰盒模型的對抗攻擊。

但是需要注意的，在 Demo 展示中，對象 A Jesse 和對象 B Steve 互換了身份，即 Steve 成為了攻擊者，他在禁飛名單中，想要騙過護照人臉識別系統；Jesse 成為了同謀者，他不在禁飛名單中，想要協助 Steve 通過護照人臉識別系統。

也就是說，Demo 展示的內容是 Steve 藉助生成的 Jesse 偽圖像通過護照人臉識別系統。此外，研究者還添加了一個隨機測試對象 Sam，以作為參考。

首先是正向測試（positive test），屏幕右側為 Steve 的真實、非生成圖像。系統在對照 Sam 時是不匹配的，對照 Steve 自己時匹配度 100%。這說明系統可以正確地識別出 Steve 自己。

其次是負向測試（negative test），屏幕右側為 Jesse 的真實、非生成圖像。系統準確地識別出了 Sam 和 Steve 與右側 Jesse 不是同一個人。這說明系統在非對抗性條件下可以正確區分不同的人。

最後是對抗性測試（adversarial test），屏幕右側為模型生成的 Jesse 的對抗性或者偽圖像。由於 Sam 不在 CycleGAN 訓練集中，所以他與右側的 Jesse 不匹配。攻擊者 Steve 則對誤分類為 Jesse。

所以，在這種對抗性攻擊場景中，如果護照掃描儀完全取代人類檢查員，則它已經誤認為攻擊者 Steve 與護照資料庫中同謀者 Jesse 的偽圖像是同一個人。由於 Jesse 不在禁飛名單中，也沒有任何其他限制，所以 Steve 能夠以 Jesse 的身份通過機場人臉驗證並順利登機。

而如果這時有人類檢查員的參與，則很可能會辨認出 Steve 與護照上的 Jesse 偽圖像並不是同一個人。這也由此說明了人臉識別系統較人類更容易出錯。

目前，該研究已經在白盒和灰盒攻擊測試中取得了進展，並實現了很高的成功率。他們希望啟發或者與其他研究者合作進行黑盒攻擊測試，從而證明該研究同樣適用於護照驗證系統等真實世界的目標，並由此對這些系統做出改進。

原文連結：https://www.mcafee.com/blogs/other-blogs/mcafee-labs/dopple-ganging-up-on-facial-recognition-systems/?utm_source=twitter_mcafee_labs&utm_medium=social_organic&utm_term=

&utm_content=&utm_campaign=&sf236565025=1

相關焦點

  • 人臉識別再曝安全漏洞:清華創業團隊推出全球首個AI模型殺毒軟體
    首先是用兩個人的照片進行原圖對比，AI 可以識別出是不同的人：點擊「生成對抗樣本」按鈕，經過十秒的處理時間，模型就為我們生成了一個基於 C 羅照片的「梅西」對抗樣本照片：對於人類來說，除了人臉部位的多了一些不清晰的擾動之外，經過處理後的圖片（上圖右）完全不會讓我們認錯圖片上的人。
  • 黑客騙過人臉識別?清華系AI公司發布首款人工智慧殺毒軟體
    類似的技術戲法如今已被廣泛應用，黑客可以通過一副「對抗樣本」眼鏡輕鬆實現身份偽裝，破解手機面部解鎖，或是偽裝成他人完成銀行和政務系統的身份認證，甚至打開人臉識別門鎖，竊取財產。在近日舉辦的2020第三代人工智慧產業論壇上，中國科學院院士、清華大學人工智慧研究院院長張鈸指出，現在很多人工智慧公司估值很高，但是營收很少，問題在於沒有解決算法和數據的不安全性，造成深入到更多高價值的場景速度較慢。「企業要做大做強，必須解決安全和魯棒（穩定強健）的問題。」
  • 從人臉識別到「無臉識別」,經濟學人主編表示很擔心
    但是，不少人對技術的進步是表示擔憂的，比如《經濟學人》副主編Tom Standageis。下文是《經濟學人》副主編Tom Standageis在1843magazine上談人臉識別所帶來的社會負面效應的文章。如果你收到一條消息，上面直接稱呼你的名字，而發送人是昨晚在酒吧見過你的陌生人，這種情況你會作何感想？大多數人會覺得這讓人毛骨悚然。
  • 破解人臉識別3D面具可輕鬆騙過微信、支付寶。微信好玩的BUG
    3D面具成功欺騙人臉識別人臉識別是基於人的臉部特徵信息進行身份識別的一種生物識別技術，現在人們越來越喜歡把錢放在網上，用起來就很方便，繼而就推出各種的認證密碼功能，而人臉識別這項技術也是越來越被廣泛使用，微信、支付寶等紛紛開啟人臉識別支付系統
  • 全新iphoneX面容ID人臉識別技術是什麼?
    蘋果今年的重頭戲十周年紀念版iPhoneX手機搭載Face ID （又稱面容ID技術）面部識別技術，可以用人臉直接解鎖屏幕。這無疑是蘋果的一項重大技術革新，那iPhoneX啟用的Face ID人臉識別技術到底厲害在哪？
  • 人臉識別技術應用各產業 但哪些行業容易遭到攻擊?
    目前，人臉識別技術在我國各產業各領域都有應用，人臉識別技術是一項具有革命意義，但也是一項頗具爭議色彩的新興技術，顯著的優勢深受人們的認可和青睞，但它也並非「完美無瑕」，以當下技術可言仍然存在不少的漏洞，網際網路也傳播不少能夠繞開和攻破人臉識別系統的方法，那麼目前哪些行業更容易受到攻擊呢？
  • 困於人臉識別
    一位麻省理工學院計算機科學專業的博士告訴我，通過人像收集與機器學習，黑客不僅能將你的臉替換至色情視頻，也可以用「對抗攻擊」（Adversarial attack）技術迷惑機器學習模型，代替你進入高鐵站，你工作的單位，甚至是你的家。生物數據，包括指紋，一直存在洩露和被偽造的風險，但隨著機器學習技術的發展以及人臉識別大規模應用，人臉信息變得更為敏感。
  • 人臉識別背後的惡魔:總有人用奇奇怪怪的方法,想要變成你
    這其中，數支付類 APP 最為慌張，他們急需找到一種識別方法，保證鏡頭前的你，不僅是對的，還得是活的。基於這種需求，一系列人臉活體檢測手段就出現了，比如動作配合式，面對面視頻等。使用方法也很簡單，添加一張人臉照片，軟體通過識別和定位面部關鍵點，就能讓「臉」活起來，流暢實現「眨眼、張嘴、點頭」。
  • 擁擠不堪的安防市場,還有人臉識別新公司的發揮空間嗎?
    在當下的安防市場中，沒有一家人臉識別公司不把自己稱為「完整的解決方案供應商」。「自主研發」「全棧式技術算機識別技術」「軟硬體產品」「面向垂直場景的解決方案」……這幾個條件放在一起，你能猜出是哪家公司嗎？
  • 審視人臉識別:一種AI技術的全球性濫用
    相較前者，一對一驗證只涉及確認一個人與自己的照片相匹配，主要應用於解鎖智慧型手機、護照檢查之類的場景。一個典型的人臉識別系統，第一階段會在圖像中定位一個或多個人臉角度。例如，在各種照明條件下和從不同角度觀看監視攝像機饋送中的人臉，下一個任務是 「標準化」 人臉，將被拍攝對象旋轉為正面，保證照明良好的視圖。
  • 僅上海安裝上萬部 政協委員多年提案拒用人臉識別
    這些人臉識別廁紙機售價9500元/部，10臺以上採購單價為7000元/部，後續每年運維費用899元/年。根據其首聯智能小程序的搜索結果，在上海，這種人臉識別廁紙機已經遍布世博公園2號口、威海路陝西北路路口、延安中路、大融城等十幾處的公廁。
  • 《和平精英》人臉識別重新識別方法
    和平精英現在是需要進行防沉迷認證的，過程中就會出現人臉識別。在和平精英進行人臉識別的時候，有的小夥伴因為一些原因想要重新進行識別，但是就不知道該如何操作了。和平精英人臉識別怎麼重新識別？下面小編就來為大家介紹一下。
  • 日本機場將普及使用「人臉識別」辦理出入境手續
    【環球網綜合報導】據日本《朝日新聞》12月17日報導，日本松下公司15日發布了可在機場對日本人護照進行「人臉識別」從而簡化出入境手續的新技術。通過「人臉識別」的電子門辦理出入境手續時，使用者只需將護照放在手邊的識別機上，把自己的臉對著機器上的鏡子「刷」一下即可完成手續。機器將識別護照內置IC晶片中的面部照片，與使用者臉部圖像進行比對，如果確認兩者一致，電子門就會自動打開。同時松下公司還將公司所擁有的照片矯正技術等也運用到了這次開發中。即便是年齡有所增長，化妝或是髮型改變，機器也可完成識別判斷。
  • 支持人臉識別與應用回滾!安卓10將史無前例地強大
    早在Android4.0時代，系統中就加入了基於前攝像頭圖像識別的人臉識別功能，當時試用的人都會覺得解鎖所需的識別時間甚至還不如直接輸入密碼，而且安全性也令人擔憂，使用圖片就能騙過人臉輸入和識別，毫無「生物識別」可言。
  • 一文讀懂人臉識別技術
    通過拍照完全可以獲得一個人的臉部特徵並進行複製，利用整容技術或者用照片識別等欺詐的方法可以騙過人臉支付系統。個人信息洩露問題：在科技發達的今天，人們似乎很輕易就可以通過無孔不入的渠道查到消費者的各種信息。而對於刷臉支付來講，像人臉特徵這種人體密碼一旦交給別人保管，個人信息的安全係數將如何確保？獲取用戶的面部特徵是否會涉及到個人隱私？
  • [街談]「人臉識別廁紙機」,慎用為好
    北京天壇公園最近安裝了6個新傢伙，每一個都是高科技產品，即「人臉識別廁紙機」。普通人一聽這個名字，很可能有些丈二和尚摸不著頭腦，人臉、識別、廁紙機，三個詞組合起來夠奇怪的。但顧名思義，這種機器的確能識別人臉，也的確安裝在廁所，裡邊還裝有廁紙。    此前，媒體曾多次報導，北京很多公園公廁內提供的免費廁紙，經常被一些市民抽走。
  • 【深度】人臉識別泛濫,誰有權拿走你的人臉數據?
    近年來，以深度學習為核心的人工智慧技術飛速發展，其中國內以視覺識別技術最為成熟，應用落地最為廣泛。出於商業前景考慮，無論是網際網路大公司、傳統安防公司以及新興的人工智慧技術公司都在這一領域大舉投入。人臉識別（視覺識別技術的一種應用）在國內的應用大致經歷從公共安全領域擴展到商業領域的過程。
  • 美國人為什麼不待見人臉識別技術?
    另外一個值得一提的烏龍事件是：巨頭公司亞馬遜2016 年推出圖像識別 AI 系統 「Rekognition」 曾將 28 名美國國會議員識別成了罪犯，讓美國社會一片譁然，也對人臉識別技術充滿了質疑。中國科學院自動化研究所的張曉波博士曾表示，照明、姿勢、裝飾等都會對機器人臉識別產生影響，對於非合作情況下的人臉圖像採集，遮擋問題非常嚴重。
  • 「人臉識別」,我們還能承受多少風險?
    這項技術正在為科技行業和政府創造一個先手機會，如何用一種重點突出而又切實具體的方式來處理人工智慧的道德和人權問題，而它們能否抓住這個機會，就要看它們怎樣決定來監管人臉識別技術了。對於大多數人來說，最初簡單場景的應用，如編目和搜索照片，現在已經變得日益複雜。很多人已經習慣了依靠人臉識別，而不是用密碼，來解鎖iPhone或Windows筆記本電腦。
  • 「人臉識別第一案」宣判，用法律為人臉識別釐清邊界
    「人臉識別第一案」判了。去年４月，郭兵支付1360元購買了杭州野生動物世界雙人年卡，當時確定指紋識別入園方式。郭兵給園方留存了電話號碼等信息，並錄入指紋。之後，園方單方面要求改成人臉識別。實際上，人臉識別作為一項新技術，不是說不能用，而是要有明確的限制條件與應用場景，不能被濫用。比如有學者就提出：人臉識別技術應用的底線是，除了特定部門的執法活動之外，任何機構、企業和個人都無權通過人臉識別調查和追蹤個人的私人生活。如果這樣的原則不被明確，人臉識別還將被濫用，郭兵的勝訴，也只具有個案的意義，無法帶來普遍的改觀。