EIN THEATERGEIST TÄUSCHT DIE GESICHTSERKENNUNG

Gesichtserkennung entsperrt heute Telefone, genehmigt Zahlungen und kontrolliert Reisende an Grenzen. Ihre neuronalen Netze sind, wie das Paper bemerkt, genauer als Menschen. Je größer das Vertrauen in sie, desto größer der Anreiz, sie zu täuschen, und die Systeme haben zwei Arten von Wächtern. Detektoren für Präsentationsangriffe suchen nach ausgedruckten Fotos, abgespielten Videos oder Masken, indem sie Texturen und Lebenszeichen prüfen. Morphing-Detektoren suchen nach digital verschmolzenen Gesichtern, bei denen zwei Menschen zu einem Bild verschmolzen wurden.

Eine Illusion von der Bühne

Tyler Fitzsimmons und Adam Czajka (University of Notre Dame) beleben einen alten Theatertrick wieder: Peppers Geist (Pepper’s Ghost), bei dem eine schräg gestellte Glasscheibe ein verborgenes Bild spiegelt, sodass ein „Geist“ auf der Bühne zu stehen scheint.

Bei ihrem „Ghost Attack“ legt die Spiegelung das Gesicht einer anderen Identität über das Gesicht vor der Kamera. Für einen menschlichen Betrachter sieht die Person ziemlich normal aus, leicht verschwommen oder teilweise von einem Lichtreflex verdeckt. Für die Software verschmelzen die beiden Gesichter zu einer hybriden Gesichtssignatur.

Der Angriff findet im freien Raum zwischen Sensor und Person statt. Er braucht keinen Zugriff auf die Erkennungssoftware, ihren inneren Zustand oder ihre Entscheidungen, auch nicht auf die Kamerahardware: Er funktioniert als reiner Black-Box-Angriff. Die Autoren stellen ihn als ersten physischen Angriff dieser Art vor, angesiedelt zwischen Präsentationsangriffen und Morphing.

Ein sorgfältiger Labortest

Die Forscher arbeiteten nicht mit lebenden Versuchspersonen. Die echten Gesichter waren Fotos aus einer Standard-Forschungsdatenbank, auf einem Bildschirm gezeigt und erneut abgefilmt; die „Geist“-Identität kam von einem zweiten Bildschirm und wurde im Glas gespiegelt. So bleibt das Protokoll reproduzierbar, und die Autoren argumentieren, dass lebende Versuchspersonen die Schlussfolgerungen nicht ändern würden. Sie erstellten einen Datensatz, GhostFace, mit 100 Identitäten, divers nach Geschlecht, Herkunft und Alter, aufgenommen bei zunehmender Angriffsstärke.

Dann ließen sie ihn gegen weit verbreitete Open-Source-Systeme laufen: fünf Gesichtsabgleiche, drei Fälschungsdetektoren und vier Morphing-Detektoren, nach internationalen Teststandards.

Drei Wächter, alle getäuscht

• Fälschungsdetektoren stuften zwischen 80 % und 96 % der Angriffsbilder bei voller Stärke als lebende, echte Gesichter ein. Selbst der empfindlichste ließ etwa vier von fünf durch.
• Morphing-Detektoren, trainiert auf digitalen Morphs, übersahen bei strenger Einstellung zwischen 16 % und 61 % der Angriffsbilder, während sie nie ein echtes Gesicht beanstandeten. Modelle, die auf digitalen Verschmelzungen trainiert wurden, so folgern die Autoren, erkennen optische nicht zuverlässig.
• Gesichtsabgleiche akzeptierten Betrüger in unterschiedlichem Maß. Der anfälligste, ArcFace, akzeptierte beim getesteten Schwellenwert 32,75 % der Angriffsbilder als die Zielperson, und mindestens ein Bild in 99 der 100 Angriffsvideos. Das neueste getestete Modell akzeptierte bei einem strengeren Schwellenwert noch 7 %. Der widerstandsfähigste, MagFace, der die Bildqualität in seine Entscheidungen einbezieht, akzeptierte weniger als 1 %.

Manchmal wurde das Mischgesicht als keine der beiden Personen erkannt, sondern als eine dritte Identität aus der Datenbank.

Den blinden Fleck schließen

Die Autoren beschreiben einen erheblichen blinden Fleck: Heutige biometrische Systeme berücksichtigen keine transparenten Projektionen, und das Paper zeigt die Grenzen sowohl texturbasierter Lebenderkennung als auch von Morphing-Detektoren, die nur auf digitalen Bildern trainiert wurden. Die Studie bleibt eine Labordemonstration mit Open-Source-Modellen und erneut abgefilmten Fotos. Um weitere Forschung zu unterstützen, bieten die Autoren den GhostFace-Datensatz anderen Teams auf Anfrage an, als neuen Maßstab, um Gesichtserkennung, Fälschungserkennung und Morphing-Erkennung gemeinsam zu testen.