Adversarial Perturbations Fool Deepfake Detectors

摘要 这篇工作使用对抗性扰动来增强deepfake图像并绕过常见的deepfake检测器。使用FGSM和C&W L2 Attack在黑/白盒场景下进行测试。探测器在未扰动的deepfake上实现了超过95%的准确率，但在扰动的deepfake上的准确率低于27%。文章还探索了对deepfake检测器的两项改进：Lipschitz正则化以及深度图像先验 对抗扰动生成 FGSM这里就掠过不谈了,C&W $L_2$ Attack挺感兴趣的可以查看【学习笔记】对抗攻击：基于优化的CW攻击方法 - 知乎 (zhihu.com) 具体来说，论文使用的CW攻击设置如下。 首先是目标函数$f(x)$，选择 $$ f(\mathbf{x}^{\prime})=\operatorname*{max}(\operatorname*{max}_{i\neq y}\{\mathbf{Z}(\mathbf{x}^{\prime})_{y}-\mathbf{Z}(\mathbf{x}^{\prime})_{i}\},-\kappa). $$ 其中$Z(x)_y$指模型将x识别为真实类别y的概率(so

深度学习 · 2023-05-15 · 401 人浏览

Evading DeepFake Detectors via Adversarial Statistical Consistency

摘要 论文地址： [2304.11670] Evading DeepFake Detectors via Adversarial Statistical Consistency (arxiv.org)](https://arxiv.org/abs/2304.11670) 本文主要提出了一种针对DeepFake检测器的统计一致性攻击(StatAttack)：选择DeepFake检测器的一些统计敏感性特征(natural degradations，例如图片的曝光、模糊以及噪声)，然后使用对抗性的方法将这些特征加入到Fake图片中，减小真图和假图之间的特征分布差异，从而欺骗检测器。 对抗训练中，因为注意到自然图像和DeepFake图像中的统计差异和两种图像之间的分布偏移成正相关，所以使用分布偏移感知损失(MMD,最大均值差异)来作为训练的损失函数。 最后文章还提出了一个攻击效果更好的MStatAttack，实际上就是在StatAttack基础上给各个增加的统计特征赋予权重(动态调整)，并多次迭代。 实验方面，文章在四个基于空间的检测器和两个基于频率的检测器分别测试了白盒、黑盒攻击的效果。

深度学习 · 2023-05-15 · 584 人浏览
Evading DeepFake Detectors via Adversarial Statistical Consistency

Practical no-box adversarial attacks against DNNs

论文地址：https://dl.acm.org/doi/abs/10.5555/3495724.3496802 摘要与引言 目前针对深度神经网络对抗脆弱性的研究进展迅速(如对抗样本、鲁棒性检验等)。现有的攻击需要内部访问（如受害者模型架构，参数或训练集）或外部访问（查询受害者模型）。然而在许多场景中，这两种访问都可能是不可行的或成本昂贵的。本文研究了无框对抗的例子，其中攻击者既不能访问模型信息或训练集，也不能查询模型。相反，攻击者只能从与受害者模型相同的问题域中收集少量示例。这种更强大的威胁模型大大扩展了对抗性攻击的适用性。 实验表明，在prototypical auto-encoding models上制作的对抗样本可以很好地转移到各种图像分类和人脸验证模型中。在www.example.com拥有的商业名人识别系统上clarifai.com，此方法将系统的平均预测准确率显著降低到仅15.40%，这与从预训练的Arcface模型中转移对抗样本的攻击相当。 No-box攻击相比于现在基于查询或转移的黑盒攻击来说，攻击条件更为严格:攻击者既不能访问大规模的训练数据，也无法查询模型，只能通

深度学习 · 2023-04-19 · 498 人浏览
Practical no-box adversarial attacks against DNNs

PCR-Auth

摘要 & 引言 PCR-Auth: Solving Authentication Puzzle Challenge with Encoded Palm Contact Response | IEEE Conference Publication | IEEE Xplore 生物识别技术已被广泛应用为用于用户认证的个人可识别数据。然而，现有的生物特征认证易受生物特征欺骗的影响。一个原因是它们很容易被观察到，并且容易受到物理伪造的影响。例如，人体的表面图案，如指纹和面部。一个更重要的问题是，现有的认证方法完全建立在生物特征的基础上，这些特征几乎永远不会改变，并且可以被诸如人类声音之类的对手获得或学习。 为了解决生物特征认证固有的安全问题，本文提出了一种新型基于声学提取的手握生物特征，这种特征每个用户的手的几何形状，体脂率，和握力有关。并且这种特征无需特意表现出来，只需要抓住手持设备就可以使用。 基于这种特征文章开发了一个challenge-response的生物认证系统，它由一对生物编码器和解码器构成。首先根据挑战序列对超声信号进行编码(抵御重放攻击)，并提取生物特征码作为本次认证

深度学习·其他 · 2023-04-17 · 458 人浏览
PCR-Auth

NatualGAN

摘要 基于WGAN提出了一个攻击黑盒分类器的自然对抗样本生成框架。这些自然对抗样本可以帮助解释黑盒模型的决策行为和评估的准确性。最后在图像分类、文本蕴含和机器翻译上进行了测试。 网络训练 相比于GAN/WGAN,NaturalGAN多了一个部件逆变器(Inverter$I$).逆变器的作用是将原始样本x映射回低维的稠密向量空间. 这样做的原因在于:GAN生成器的输入是随机的低维高斯噪声z(比如dim=100)，通过生成器G映射到高维空间，这个分布在高维空间是低维流形，也就是所谓的“撑不满”整个高维空间(这个在之前在WGAN中提到过).换句话说生成的对抗样本$x'$的分布其实很大程度上取决于低维噪声的分布.而GAN直接拿随机噪声作为G的输入,而忽略了真实样本x的分布$p_r$,尽管通过设置损失函数(JS散度或EM距离)可以拉近$p_r$和$p_g$,但是缺少了原始样本x的特征信息,会导致最终生成的对抗样本不够自然. 在AdvGAN中,是通过输入样本x或样本x的特征图来解决上述不足 回到NatualGAN,训练共分两个步骤.首先是按照WGAN的策略,训练好生成器G和判别器C.这里G的

深度学习 · 2023-04-12 · 392 人浏览
NatualGAN
2023 - 2025 Axuanz的学习日记. All Rights Reserved.
Theme Jasmine by Kent Liao