劇場の幽霊が顔認証をだます

顔認証はいまや、スマートフォンのロックを解除し、支払いを承認し、国境で旅行者を確認している。論文によれば、その中核にあるニューラルネットワークは人間よりも正確だ。頼られる場面が増えるほど、だまそうとする動機も強まる。そのため、こうしたシステムには2種類の見張り役がついている。プレゼンテーション攻撃検知器は、質感や生体の兆候を調べることで、印刷された写真、再生された動画、マスクを見つけ出す。モーフィング検知器は、2人の人物を1枚の写真に合成した、デジタルに混ぜ合わせた顔を探す。

舞台から来た幻影

ノートルダム大学のTyler FitzsimmonsとAdam Czajkaは、古い劇場の仕掛けをよみがえらせた。ペッパーズ・ゴーストだ。傾けたガラス板が隠れた像を映し出し、舞台の上に「幽霊」が立っているように見せる。

彼らの「ゴースト・アタック」では、映り込んだ像が、カメラの前にいる人の顔の上に別の身元の顔を重ねる。そばで見ている人には、その人はほぼ普通に見え、少しぼやけているか、反射光で一部が隠れている程度だ。ところがソフトウェアにとっては、二つの顔が混ざり合ってハイブリッドな顔の特徴量になる。

攻撃は、センサーと人とのあいだの何もない空間で行われる。認証ソフトウェアやその内部状態、判定結果にアクセスする必要はなく、カメラのハードウェアに触れる必要もない。純粋なブラックボックス攻撃として機能するのだ。著者らはこれを、プレゼンテーション攻撃とモーフィングの中間に位置する、この種の初めての物理的攻撃として紹介している。

慎重な実験室での検証

研究者たちは生身の被験者を使わなかった。本物の顔は、標準的な研究用データベースの写真を画面に表示して撮影し直したものだ。「幽霊」の身元は2台目の画面から映し出され、ガラスに反射させた。こうすることで手順の再現性が保たれる。著者らは、生身の被験者を使っても結論は変わらないだろうと述べている。彼らは、性別、出身、年齢の多様な100人分の身元からなるデータセットGhostFaceを作り、攻撃の強さを段階的に上げながら記録した。

そのうえで、広く使われているオープンソースのシステムに対してこれを試した。顔照合システム5種、なりすまし検知器3種、モーフィング検知器4種で、国際的な試験規格に従った。

3つの見張り役が、すべてだまされた

• なりすまし検知器は、最大強度の攻撃画像の**80%から96%**を、生きた本物の顔と判定した。最も反応のよい検知器でさえ、およそ5枚に4枚を通過させた。
• デジタルのモーフィング画像で訓練されたモーフィング検知器は、厳しい設定で攻撃画像の16%から61%を見逃した。本物の顔を誤って検出することは一度もなかった。著者らは、デジタルの合成で訓練されたモデルは、光学的な合成を確実には捕まえられないと結論づけている。
• 顔照合システムは、さまざまな割合でなりすましを受け入れた。最も脆弱だったArcFaceは、試したしきい値で攻撃画像の**32.75%**を標的の人物として受け入れ、100本の攻撃動画のうち99本で少なくとも1枚の画像を受け入れた。試したなかで最新のモデルも、より厳しいしきい値で7%を受け入れた。最も耐性が高かったのは画質を判定に加味するMagFaceで、受け入れは1%未満だった。

混ざり合った顔が、どちらの人物とも認識されず、データベース内の第三の身元として認識されることもあった。

盲点をふさぐ

著者らは重大な盲点があると述べている。現在の生体認証システムは透明な投影を想定しておらず、論文は、質感に基づく生体検知と、デジタル画像だけで訓練されたモーフィング検知器の両方の限界を示している。この研究は、オープンソースのモデルと撮影し直した写真を使った実験室での実証にとどまる。今後の研究を後押しするため、著者らはGhostFaceデータセットを、顔認証、なりすまし検知、モーフィング検知をまとめて試すための新しいベンチマークとして、要望に応じてほかのチームに提供している。