人脸识别黑盒对抗攻击的人类可感知性研究

现代开放互联网包含数十亿张公开的人脸图像，尤其在使用人口占全球一半的社交媒体网站上。在此背景下，人脸识别（FR）系统有可能将人脸匹配到特定姓名与身份，引发显著的隐私担忧。对抗攻击通过破坏FR系统识别人脸的能力，成为赋予用户隐私的一种有前景手段。然而，此类攻击可被人类观察者察觉，尤其在更具挑战性的黑盒威胁模型下。文献中对此类攻击不可感知性的论证依赖于$\ell_p$范数等边界度量。然而，关于这些范数如何与人类感知相符的研究甚少。通过考察并度量近期黑盒攻击在人脸识别场景下的有效性，以及通过调查数据对应的可感知性，我们展示了攻击愈发激进时所出现的可感知性权衡。我们还表明，$\ell_2$范数及其他度量与人类可感知性并非线性相关，因而这些范数在度量对抗攻击可感知性方面并非最优。