妆容攻击：通过妆容转移对人脸识别进行特征空间黑箱后门攻击
内容提要
本文研究了深度学习人脸识别技术中的后门攻击，提出了多种攻击方法及其防御策略。研究表明，后门攻击在面部特征依赖系统中非常有效，现有防御措施难以抵御。提出的创新方法在攻击成功率和鲁棒性方面表现优异，同时解决了隐私风险和数据集偏见问题。
延伸解读
后门攻击的演进与物理世界威胁
文章梳理了后门攻击从数字空间向物理世界扩展的趋势。2018年的定向权重扰动方法证明了攻击者能提高特定输入被CNN虚假接受的概率，同时保持合法类别误差率。2020年的实体后门攻击进一步显示，以实体物体为触发器的攻击对依赖关键面部特征的系统尤为有效，且能规避现有数字攻击防御的核心假设。这提示我们，防御需从数字层面扩展到物理层面，建立更强大的防御机制。
新型攻击方法的技术特点与优势
文章介绍了多种创新攻击方法。深度特征空间特洛伊攻击具备有效性、隐秘性、可控性、鲁棒性和深度特征依赖性，在9个图像分类器上验证了其规避最先进防御的能力。Adv-Makeup方法利用任务驱动的化妆生成和元学习策略，在黑盒环境下实现不可察觉且可转移的攻击，显著提高攻击成功率。BAAT背景攻击基于内容相关特征设计，能有效抵抗现有防御。这些方法共同表明，攻击技术正朝着更隐蔽、更鲁棒的方向发展。
面部伪造检测中的后门威胁与防御挑战
文章指出，深度神经网络虽提升了面部伪造检测性能，但其安全性受到后门攻击威胁。基于合成分析的后门攻击将自然触发器嵌入潜在空间，通过优化触发器和自定义触发器两种角度研究漏洞，并利用StyleGAN和Stable Diffusion生成更自然、健壮的污染样本。实验显示，该方法攻击成功率超过99%，低污染率下模型准确性下降极小，且对现有防御方法表现出更好鲁棒性，人工检查也更难察觉。这凸显了现有防御的不足。
隐私保护与偏见缓解的新思路
文章还关注了人脸识别系统的隐私风险和数据集偏见问题。针对性风格对抗（TSA）方法通过在标记和未标记数据集之间插值实例级特征统计来扩展训练数据，解决了模型在非训练数据上表现不佳的问题，同时训练速度提高近70%，内存消耗减少40%。另一项创新方法在测试时优化未训练神经网络，实现化妆风格转移，避免了男性和女性数据集偏见，在面部验证和识别任务中表现优越，并对商业系统具有保护效果。这些工作为隐私保护和公平性提供了新方向。
Q&A
什么是深度学习人脸识别中的后门攻击？
后门攻击是指攻击者通过特定的输入触发器，使得深度学习模型错误地接受这些输入，同时保持合法输入的误差率。
Adv-Makeup方法的主要特点是什么？
Adv-Makeup方法实现了在黑盒环境下的不可察觉和可转移攻击，显著提高了攻击成功率。
现有的防御措施为何难以抵御后门攻击？
现有防御措施难以抵御后门攻击，因为这些攻击可以规避针对后门攻击的核心假设，尤其是在关键面部特征高度依赖的系统中。
如何通过合成分析进行面部伪造检测模型的后门攻击？
通过将自然触发器嵌入潜在空间，并利用优化的触发器和自定义触发器生成污染样本，进行面部伪造检测模型的后门攻击。
针对性风格对抗（TSA）方法的优势是什么？
TSA方法提高了训练速度近70%，并减少了内存消耗40%，有效解决了深度人脸识别模型在非训练数据输入上的表现问题。
如何解决深度学习人脸识别系统的隐私风险？
通过提出一种在测试时优化未训练神经网络的方法，避免依赖大规模化妆数据集，从而解决隐私风险和数据集偏见问题。
