Um método de ataque adversarial a redes neurais convolutivas para reconhecimento facial

Abstract

Atualmente, as tecnologias de redes neurais permitem realizar atividades de reconhecimento facial com uma precisão nunca vista antes. Reconhecimento facial está sendo usado para fins de mídia social, para, por exemplo, reconhecimento de pessoas que estão presentes em uma foto. No entanto, também está sendo usado por departamentos de polícia para identificar participantes de protestos. Isso tem causando uma discussão quanto a invasão de privacidade e existe um movimento de pessoas que tentam desenvolver maneiras de evitar esse sistema de vigilância contante. Muitos estudos surgiram após a descoberta de que redes neurais são facilmente enganadas com pequenas alterações não vistas a olho nu. Nesse trabalho, investigamos uma variante de ataque que consiste no uso de uma abordagem de otimização para descobrir um conjunto geométrico simples, de diferentes escalas, posições e cores que, quando colocadas sobre o rosto da pessoa, faz com que uma rede neural não consiga realizar classificações corretamente. Métodos de estado da arte têm um percentual de sucesso de ataques em aproximadamente, no mínimo, 88%. Entretanto, esses métodos atingem esse percentual utilizando padrões geométricos extremamente complexos e envolvendo mudanças substanciais no rosto de uma pessoa, o que nem sempre pode ser factível de ser implementado na vida real. Por outro lado, investigamos neste trabalho ataques com padrões geométricos significativamente mais simples do que aqueles investigado pelos métodos de estado da arte. Com a nossa abordagem, nós mostramos que ainda é possível atacar essas redes, embora com um percentual de sucesso menor (34%), mas com a vantagem que o processo de otimização se torna mais fácil. Os padrões geométricos descobertos são compostos por formas geométricas simples e visíveis ao olho nu, ao contrário do que acontece no estado da arte quando frequentemente pixels individuais precisam ter suas cores alteradas para valores específicos. Nós demonstramos os resultados empiricamente atacando uma rede neural de convolução treinada no conjunto de dados VGGFace2, o qual envolve aproximadamente 9000 classes. Embora esse trabalho seja apenas uma investigação preliminar, é direcionado que abordagens complementares, com aquela já existentes na literatura, podem ser bem-sucedidas mesmo que envolvam padrões de ataque mais simples que os tipicamente investigados.

Nowadays neural network technologies allow for facial recognition activities with a performance never seen before. Face recognition is being used for social media purposes, for example, for recognition of people who are present in a photograph. However, it is also being used by police departments to identify protesters. This has been causing a debate as invasion of privacy issues and there is a growing movement of people trying to develop ways to avoid being subject to a constant surveillance system. Many studies have emerged after the discovery that neural networks are easily fooled by minor changes not seen with the naked eye. In this paper we investigate a variant of attack that consists of using an optimization approach to discover a simple geometric set of forms of different scales, positions and colors that, when placed on the person’s face, causes the neural network to misclassify its input. State-of-the-art methods have a success rate of attacks of at least 88%. However, these methods achieve this percentage using extremely complex geometric patterns and involving substantial changes in a person’s face which may not always be feasible to implement in real life. On the other hand we investigated in this work attacks with significantly simpler geometric patterns than those investigated by state of the art methods. With our approach we have shown that it is still possible to attack these networks even with a lower percentage of failure (34%) but with the advantage that the optimization process becomes easier and that the discovered geometric patterns, which are capable of attacking the networks, are composed of simple geometric shapes visible to the naked eye as opposed to what happens in the state of the art when often individual pixels need to have their colors changed to specific values. We demonstrate the results empirically by attacking a trained convolution neural network in the VGGFace2 dataset which has approximately 9000 classes. Although this work is only a preliminary investigation, it is intended that complementary approaches such as those already available in the literature may be successful even if they involve simpler attack patterns than those typically investigated.