ТЕАТРАЛЬНЫЙ ПРИЗРАК ОБМАНЫВАЕТ РАСПОЗНАВАНИЕ ЛИЦ

Распознавание лиц сегодня разблокирует телефоны, подтверждает платежи и проверяет путешественников на границах. Его нейросети, отмечается в статье, точнее людей. Чем больше на него полагаются, тем сильнее соблазн его обмануть, и у систем есть два вида стражей. Детекторы атак предъявления (presentation-attack detectors) ищут распечатанные фотографии, воспроизводимые видео или маски, проверяя текстуры и признаки жизни. Детекторы морфинга ищут цифровые смешения лиц, полученные слиянием двух человек в одном изображении.

Иллюзия со сцены

Тайлер Фицсиммонс и Адам Чайка (Университет Нотр-Дам) возрождают старый театральный трюк — «призрак Пеппера» (Pepper’s Ghost): наклонённое стекло отражает спрятанное изображение, и кажется, будто на сцене стоит «призрак».

В их «Ghost Attack» отражение накладывает лицо другой личности на лицо перед камерой. Стороннему наблюдателю человек кажется вполне обычным, чуть размытым или частично закрытым бликом. Для программы два лица сливаются в гибридную лицевую сигнатуру.

Атака происходит в свободном пространстве между датчиком и человеком. Ей не нужен доступ ни к программе распознавания, ни к её внутреннему состоянию или решениям, ни к аппаратуре камеры: она работает как чистая атака «чёрного ящика». Авторы представляют её как первую физическую атаку такого рода, находящуюся между атаками предъявления и морфингом.

Тщательная лабораторная проверка

Исследователи не привлекали живых испытуемых. Настоящие лица были фотографиями из стандартной исследовательской базы данных, которые показывали на экране и переснимали; «призрачная» личность шла со второго экрана и отражалась в стекле. Так протокол остаётся воспроизводимым, и, по мнению авторов, живые испытуемые выводов не изменили бы. Они собрали набор данных GhostFace из 100 личностей, разнообразных по полу, происхождению и возрасту, записанных при возрастающей силе атаки.

Затем они прогнали его через широко используемые системы с открытым кодом: пять алгоритмов сравнения лиц, три детектора подделок и четыре детектора морфинга, по международным стандартам тестирования.

Три стража, и все обмануты

• Детекторы подделок признали живыми, настоящими лицами от 80 % до 96 % атакующих изображений при полной силе атаки. Даже самый чувствительный пропускал примерно четыре из пяти.
• Детекторы морфинга, обученные на цифровых морфах, при строгой настройке пропустили от 16 % до 61 % атакующих изображений, ни разу не отметив настоящее лицо. Модели, обученные на цифровых смешениях, заключают авторы, ненадёжно ловят оптические.
• Алгоритмы сравнения лиц принимали самозванцев с разной частотой. Самый уязвимый, ArcFace, при проверенном пороге принял за целевого человека 32,75 % атакующих изображений и хотя бы одно изображение в 99 из 100 атакующих видео. Новейшая из проверенных моделей при более строгом пороге всё ещё принимала 7 %. Самый стойкий, MagFace, учитывающий качество изображения в своих решениях, принял менее 1 %.

Иногда смешанное лицо распознавалось не как один из двух человек, а как третья личность из базы данных.

Закрыть слепое пятно

Авторы описывают значительное слепое пятно: современные биометрические системы не учитывают прозрачные проекции, и статья показывает пределы как проверок живости по текстурам, так и детекторов морфинга, обученных только на цифровых изображениях. Исследование остаётся лабораторной демонстрацией с моделями с открытым кодом и переснятыми фотографиями. Чтобы поддержать дальнейшие исследования, авторы предлагают другим командам набор данных GhostFace по запросу — как новый эталон для совместной проверки распознавания лиц, обнаружения подделок и обнаружения морфинга.