BÓNG MA SÂN KHẤU ĐÁNH LỪA NHẬN DIỆN KHUÔN MẶT

Nhận diện khuôn mặt ngày nay mở khóa điện thoại, phê duyệt thanh toán và kiểm tra hành khách ở biên giới. Bài báo lưu ý rằng các mạng nơ-ron của nó còn chính xác hơn con người. Khi sự phụ thuộc tăng lên, động cơ để đánh lừa nó cũng tăng theo, và các hệ thống này có hai loại lính gác. Bộ phát hiện tấn công trình diện (presentation-attack detector) tìm kiếm ảnh in, video phát lại hoặc mặt nạ, bằng cách kiểm tra kết cấu bề mặt và dấu hiệu sự sống. Bộ phát hiện ảnh ghép (morph detector) tìm kiếm những khuôn mặt được trộn bằng kỹ thuật số, tạo ra bằng cách hợp nhất hai người vào một bức ảnh.

Một ảo ảnh từ sân khấu

Tyler Fitzsimmons và Adam Czajka (Đại học Notre Dame) làm sống lại một mánh sân khấu cũ: Bóng ma Pepper, trong đó một tấm kính đặt nghiêng phản chiếu một hình ảnh được giấu kín để một “bóng ma” như đang đứng trên sân khấu.

Trong “Tấn công Bóng ma” (Ghost Attack) của họ, hình phản chiếu phủ khuôn mặt của một danh tính khác lên khuôn mặt đang ở trước camera. Với người quan sát, người đó trông khá bình thường, chỉ hơi mờ hoặc bị một vệt lóa che khuất một phần. Với phần mềm, hai khuôn mặt hòa vào nhau thành một dấu hiệu khuôn mặt lai.

Cuộc tấn công diễn ra trong khoảng không gian trống giữa cảm biến và con người. Nó không cần truy cập vào phần mềm nhận diện, trạng thái bên trong hay các quyết định của phần mềm, cũng không cần chạm tới phần cứng camera: nó hoạt động như một cuộc tấn công hộp đen thuần túy. Các tác giả giới thiệu đây là cuộc tấn công vật lý đầu tiên thuộc loại này, nằm giữa tấn công trình diện và ghép ảnh.

Một phép thử cẩn trọng trong phòng thí nghiệm

Các nhà nghiên cứu không dùng người thật. Những khuôn mặt thật là ảnh từ một cơ sở dữ liệu nghiên cứu tiêu chuẩn, được hiển thị trên màn hình và quay lại; danh tính “bóng ma” đến từ một màn hình thứ hai, phản chiếu trên tấm kính. Cách làm này giữ cho quy trình có thể tái lập, và các tác giả lập luận rằng dùng người thật sẽ không làm thay đổi kết luận. Họ xây dựng một bộ dữ liệu, GhostFace, gồm 100 danh tính đa dạng về giới tính, nguồn gốc và độ tuổi, được ghi lại ở các mức cường độ tấn công tăng dần.

Sau đó họ chạy bộ dữ liệu này trên các hệ thống mã nguồn mở được sử dụng rộng rãi: năm hệ thống so khớp khuôn mặt, ba bộ phát hiện giả mạo và bốn bộ phát hiện ảnh ghép, theo các tiêu chuẩn kiểm thử quốc tế.

Ba lính gác, đều bị lừa

Các bộ phát hiện giả mạo xếp từ 80% đến 96% ảnh tấn công ở cường độ tối đa vào loại khuôn mặt thật, đang sống. Ngay cả bộ nhạy nhất cũng để lọt khoảng bốn trên năm ảnh.
Các bộ phát hiện ảnh ghép, vốn được huấn luyện trên ảnh ghép kỹ thuật số, bỏ sót từ 16% đến 61% ảnh tấn công ở chế độ thiết lập nghiêm ngặt, trong khi chưa từng gắn cờ nhầm một khuôn mặt thật nào. Các tác giả kết luận rằng những mô hình được huấn luyện trên ảnh trộn kỹ thuật số không phát hiện được một cách đáng tin cậy những ảnh trộn quang học.
Các hệ thống so khớp khuôn mặt chấp nhận kẻ mạo danh ở những tỷ lệ khác nhau. Hệ thống dễ tổn thương nhất, ArcFace, chấp nhận 32,75% ảnh tấn công là người mục tiêu ở ngưỡng được thử, và chấp nhận ít nhất một ảnh trong 99 trên 100 video tấn công. Mô hình mới nhất được thử vẫn chấp nhận 7% ở một ngưỡng nghiêm ngặt hơn. Hệ thống chống chịu tốt nhất, MagFace, vốn đưa chất lượng ảnh vào cân nhắc khi ra quyết định, chấp nhận dưới 1%.

Đôi khi khuôn mặt trộn không được nhận ra là người nào trong hai người, mà lại là một danh tính thứ ba trong cơ sở dữ liệu.

Lấp điểm mù

Các tác giả mô tả một điểm mù đáng kể: các hệ thống sinh trắc học hiện nay không tính đến những hình chiếu trong suốt, và bài báo cho thấy giới hạn của cả các phép kiểm tra sự sống dựa trên kết cấu lẫn các bộ phát hiện ảnh ghép chỉ được huấn luyện trên ảnh kỹ thuật số. Nghiên cứu vẫn chỉ là một minh chứng trong phòng thí nghiệm với các mô hình mã nguồn mở và ảnh được chụp lại. Để hỗ trợ các nghiên cứu tiếp theo, các tác giả cung cấp bộ dữ liệu GhostFace cho các nhóm khác theo yêu cầu, như một chuẩn đánh giá mới để kiểm thử đồng thời nhận diện khuôn mặt, phát hiện giả mạo và phát hiện ảnh ghép.