一个剧场幽灵骗过了人脸识别

如今，人脸识别可以解锁手机、批准付款，还能在边境核验旅客。论文指出，其神经网络比人类更准确。随着依赖程度加深，欺骗它的动机也在增加，因此这些系统配备了两类“守卫”。呈现攻击检测器通过检查纹理和活体迹象，寻找打印照片、重播视频或面具。换脸（morph）检测器则寻找经过数字融合的人脸，即把两个人合成到一张照片里。

来自舞台的幻术

圣母大学的Tyler Fitzsimmons和Adam Czajka复活了一种古老的剧场把戏：佩珀尔幻象，即用一块倾斜的玻璃板反射一个隐藏的图像，让一个“幽灵”看起来站在舞台上。

在他们的“幽灵攻击”（Ghost Attack）中，倒影把另一个身份的脸叠加在摄像头前的脸上。对旁观者来说，这个人看上去相当正常，只是稍显模糊，或部分被反光遮住。而对软件来说，两张脸融合成了一种混合面部特征。

攻击发生在传感器与人之间的自由空间里。它无需接触识别软件、其内部状态或决策，也无需接触摄像头硬件：它是一种纯粹的黑盒攻击。作者称这是此类攻击中的首个物理攻击，介于呈现攻击与换脸之间。

一项严谨的实验室测试

研究者没有使用真人受试者。真实人脸来自一个标准研究数据库的照片，显示在屏幕上后再次拍摄；“幽灵”身份来自第二块屏幕，经玻璃反射。这让实验流程可复现，作者认为使用真人受试者也不会改变结论。他们构建了一个数据集GhostFace，包含100个在性别、来源和年龄上各不相同的身份，以逐渐增强的攻击强度录制。

随后，他们按照国际测试标准，用它测试了广泛使用的开源系统：五个人脸比对器、三个防伪检测器和四个换脸检测器。

三道守卫，全部被骗

• 防伪检测器把**80%到96%**的全强度攻击图像判定为活体真人脸。即使是最敏感的那个，也放过了大约五分之四。
• 换脸检测器是用数字换脸图像训练的，在严格设置下漏掉了16%到61%的攻击图像，同时从未误报真实人脸。作者得出结论：用数字融合图像训练的模型无法可靠地识别光学融合。
• 人脸比对器接受冒充者的比例各不相同。最脆弱的ArcFace在测试阈值下把**32.75%**的攻击图像当作目标人物接受，并且在100段攻击视频中有99段至少有一帧图像被接受。测试中最新的模型在更严格的阈值下仍接受了7%。最具抵抗力的MagFace会把图像质量纳入决策，接受率不到1%。

有时，融合后的人脸没有被识别为其中任何一人，而是被识别为数据库中的第三个身份。

堵上盲区

作者描述了一个重大盲区：当前的生物识别系统没有考虑透明投影，论文也显示了基于纹理的活体检测和仅用数字图像训练的换脸检测器的局限。这项研究仍是一次使用开源模型和翻拍照片的实验室演示。为支持进一步研究，作者可应其他团队的请求提供GhostFace数据集，作为同时测试人脸识别、防伪检测和换脸检测的新基准。