重思对面部识别系统的对抗攻击威胁与可及性

面部识别管道已广泛部署于信任、公平和负责任AI应用中的各类关键系统。然而，对抗攻击的出现威胁了整个识别管道的安全。尽管提出了大量针对数字与物理形式对抗样本的攻击方法，但评估不同攻击的真实威胁水平并获取洞见仍极具挑战性。传统攻击视不可见性为保持扰动隐形的最重要指标，而我们怀疑行业专业人士可能持不同观点。本文从行业和面部识别应用的角度，探讨衡量对抗攻击带来威胁的程度。与该领域广泛研究的高级攻击不同，我们提出一种有效且易于实施的物理对抗攻击，名为 AdvColor，针对面向物理世界的黑盒面部识别管道。AdvColor 通过直接提供印刷的人脸照片并搭配对抗性照明，欺骗识别管道中的模型。实验结果表明，物理 AdvColor 示例对反欺欺模型的误导率可达96%以上，对整个面部识别管道的攻击成功率达88%。我们还调查了AdvColor等当前主流对抗攻击的威胁，以了解机器衡量的威胁水平与人类评估威胁水平之间的差距。调查结果令人惊讶地显示，与刻意构造的不可见攻击相比，虽感知但易于实施的攻击对面部识别的实际商业系统构成更致命的威胁。