Тщательно нанесенный макияж на лоб, щеки и нос может помочь вам избежать систем распознавания лиц, судя по экспериментальной работе этих компьютерных ученых.
Описанный ими метод представляет собой форму состязательной атаки, которая обычно включает в себя тонкую настройку входных данных, чтобы обмануть алгоритмы машинного обучения и заставить их неправильно идентифицировать объекты в изображениях, тексте или аудио.
В этом случае цель состоит в том, чтобы система распознавания лиц не могла вас идентифицировать. В прошлом мы видели наклейки, которые можно надеть на лицо, или бумажные очки, которые можно надеть, чтобы обмануть такие технологии, хотя они не очень незаметны. Охранники, операторы или кто-либо еще поблизости, вероятно, поймут, что что-то не так, когда вы пройдете мимо с этим материалом при себе.
Тем не менее, возможно, вы не будете так сильно выделяться, если наденете футболку с состязательным принтом, хотя, опять же, опытные наблюдатели могут проявить мудрость и остановить вас.
Состязательная атака, описанная в предпечатном документе, опубликованном через arXiv на этой неделе, сотрудниками Университета Бен-Гуриона в Негеве в Израиле и японским ИТ-гигантом NEC, утверждает, что была гораздо более скрытной. Настолько, что не должно быть очевидно, что вы пытаетесь обмануть систему распознавания лиц ИИ.
«В этой статье мы предлагаем уклонение от враждебной атаки, которая является черным ящиком, не нацелена и основана на возмущении, которое реализуется с использованием естественного макияжа», – пишут исследователи. «Поскольку натуральный макияж незаметен физически, его использование не вызовет подозрений. Наш метод находит естественный макияж, который при добавлении к лицу злоумышленника скрывает его / ее личность от системы распознавания лиц ».
В их эксперименте, который, как мы подчеркиваем, на данном этапе является проектом лабораторного уровня, существует система искусственного интеллекта в виде черного ящика, которая сканирует лица в поисках запрещенных людей и поднимает тревогу, если их заметят. Цель состоит в том, чтобы нанести макияж на этого запрещенного человека таким образом, чтобы он не был идентифицирован моделью распознавания лиц.
Под черным ящиком мы подразумеваем, что исследователи не имеют доступа или представления о внутренней работе алгоритма распознавания лиц, который они пытаются перехитрить, как это было бы, если бы они атаковали реальную систему. Вместо этого они используют суррогатную систему вместо программного обеспечения искусственного интеллекта в виде черного ящика.
На этом рисунке, взятом из бумаги, естественный внешний вид состязательного макияжа заставляет систему распознавания лиц помечать известного участника как неизвестного. Предоставлено: Гетта. и другие
Сначала они загружают фотографии запрещенного и случайного человека в суррогатную модель для создания тепловой карты. На карте выделяются области лица, которые наиболее важны для системы замены при идентификации лица конкретного человека. Затем на эти области наносится макияж, чтобы изменить их внешний вид и, надеюсь, обмануть суррогатную модель. Нос можно сделать тоньше с помощью пудры или сделать скулы более выраженными с помощью контурной пластики, например. Этот процесс повторяется до тех пор, пока суррогат не будет обманут.
Исследователи делают ставку на систему распознавания лиц в виде черного ящика, имеющую недостатки, аналогичные ее заменяющей. Независимо от того, что обманывает, суррогатная система должна поставить в тупик и модель черного ящика, если атака сработает. Когда человек с непристойным макияжем проходит мимо камеры, его программное обеспечение для распознавания лиц не должно соответствовать его лицу.
В небольшом эксперименте, проведенном на десяти мужчинах и десяти женщинах в возрасте от 20 до 28 лет, камеры распознавания лиц, работающие на основе модели LResNet100E-IR, ArcFace @ ms1m-Refin-v2, по-видимому, могли правильно идентифицировать запрещенных людей только с враждебной стороны. составляют 1,22% времени. В качестве суррогата использовалась модель Facenet.
Этот документ является всего лишь доказательством правильности концепции и не тестирует коммерчески развернутые приложения. К результатам следует относиться с недоверием. Похоже, что модель распознавания лиц, которую исследователи использовали в своем тесте, с самого начала не была очень точной. Он смог правильно идентифицировать участников без макияжа только в 47,57 процентах случаев, а когда косметические средства применялись случайным образом, он упал до 33,73 процента, согласно исследованию.
Тем не менее, исследователи утверждали, что падение производительности при наложении на людей враждебного макияжа «ниже разумного порога реалистичной операционной среды». ° обратился к руководителям за дальнейшими комментариями и информацией. ®
