“刷臉時代”的科技“攻防”

原文地址：http://news.sciencenet.cn/htmlnews/2023/4/498045.shtm

“刷臉”（人臉識別）因其獨有的身份信息特征和便利性，在智能終端開啟、重要場所進入和支付驗證等領域有著廣泛應用。隨著人工智能（AI）技術的迅猛發展，人臉識別和人臉數據的安全性問題更加突出。如果人臉數據泄露，用AI技術重構人臉圖像、生成虛擬視頻，甚至突破支付系統的活體檢測（眨眼、張嘴、點頭）都不在話下。

近日，浙江大學網絡空間安全學院王志波團隊聯合阿里巴巴安全部、深象智能部，針對人臉特征數據庫泄露后人臉被重構的問題，提出新的隱私保護對抗性人臉特征，在保持人臉識別準確性的同時，有效防御未知重構攻擊。相關研究已被CVPR 2023（國際計算機視覺與模式識別會議）接收。

  ?

人臉隱私保護須保障數據安全保證數據可用。受訪者供圖

人臉識別“攻防”升級

刷臉在為我們帶來極大便利的同時，也催生了一系列問題。日常照片會被人“一鍵脫衣”，耄耋老人能輕松返老還童，甚至美國前總統被捕的假圖片也廣為流傳……

“目前，網絡和數據安全保障機制的欠缺導致易造成人臉數據泄露。一旦人臉特征數據泄露，利用AI技術可輕松重構人臉圖像，生成視頻，可能導致身份識別、跟蹤和騷擾等問題，對個人權利和自由構成威脅，甚至可能導致金融和社會安全等方面的風險。”王志波告訴《中國科學報》，“人臉信息是種唯一的、不可再生的身份特征，人臉數據一旦丟失或者泄露，則是永久泄露，將貽害無窮，目前世界上許多先進的人臉識別系統都因隱私問題而承受著來自各方面的質疑和壓力。因此保護人臉數據隱私對于維護個人權利和社會安全至關重要的。”

雖然人臉識別技術誕生的時間并不長，但在安全性方面已經發生了幾輪攻防較量。

人臉識別系統多采用終端（客戶端）和云端（服務器）進行匹配的方式，最初的識別系統由客戶端采集人臉圖像信息，然后將采集到的圖像存放在數據庫。進行識別的時候，系統將客戶端和數據庫圖像進行匹配，圖像一致就能通過。這種識別方式一旦數據庫泄露，人臉圖像及相關隱私數據會被輕易獲取。

目前，主流的人臉識別系統已得到升級，由客戶端的特征提取器從人們面部圖像中抓取信息，并將面部特征而非面部圖像存儲在服務器。由于人臉特征抑制了人臉的視覺信息，因此不會在視覺上直接泄露人臉隱私。然而，人臉特征識別仍然存在安全風險。

實際上，不同機構、各種APP數據庫泄露的問題屢見不鮮。據光明網報道，去年2月，深圳某人臉識別企業發生數據泄露，超過250萬人的核心數據，680萬條記錄泄露，其中包括身份證信息、人臉識別圖像及GPS位置記錄等；同期，歐洲一家公司也發生大規模信息泄露事件，數百萬人面部識別信息流出……

“雖然相比于圖像信息，提取人臉特征信息似乎更為安全，但是隨著AI技術的迅速發展，基于深度學習網絡的重構攻擊可以通過特征信息進行反推，從而將人臉圖像重構出來。”王志波說，“阿里巴巴安全部也有這方面的擔憂，就找到我們合作，進行人臉識別安全研究。”

加入對抗性“擾動”

為解決此類問題，王志波團隊對人臉識別的工作模式進行分析，發現從人臉匹配的工作原理上看，“解鈴還須系鈴人”。

“既然是借助AI進行的重構攻擊，我們就想能不能找到一種辦法，對人臉特征進行處理，讓別有用心者即使拿到數據庫也無法重構人臉圖像。”王志波說。

研究團隊發現，以往的人臉識別系統中，識別特征和人臉圖像間存在一對一的映射關系。如果從這種關聯入手，在客戶端采集到人臉特征信息后進行一些處理以打亂從特征到人臉圖像的映射，并將得到的對抗性人臉特征而不是人臉圖片存入服務器，這樣即使服務器數據庫流出，也不會發生隱私泄露問題。

“我們在識別系統中加入對抗性‘擾動’（干擾信息），擾動雖然能有效防止重構，但也會使識別精度有微弱下降，所以要利用人工智能模型對添加的擾動程度進行權衡。”王志波補充說，“所謂對抗性擾動，是指這些擾動有一定的‘智能’。也就是說，擾動怎么加，加多少，是根據我們訓練的模型計算得來的。”

“影子模型”模擬攻擊

研究團隊通過建立“影子模型”來模擬攻擊行為，捕捉從面部特征到圖像的映射函數，利用重構映射相似性的特點，產生對抗性噪聲來破壞從特征到人臉的映射，完成對未知重構攻擊的抵御，確保人臉隱私安全。

“我們首先建立一個人臉識別模型，再訓練出一個影子模型（攻擊模型），同時暴露給影子模型更多信息，模擬高水平黑客。”該團隊成員之一，浙江大學網絡空間安全學院研究生王和告訴《中國科學報》。

使用擁有相同知識的攻擊模型，研究人員在實驗室對三類系統（當前主流的無保護人臉識別系統；其他團隊研發的有保護系統；該團隊研發的新系統）進行測試。結果發現，第一類系統被重構攻擊后，生產的圖像和人臉原圖幾乎一模一樣；第二類雖然有一定的保護效果，但攻擊模型也基本上還原出人臉圖像。

  ?

面對重構攻擊的防御效果對比圖。受訪者供圖

“實際上，我們給攻擊模型提供了更多的信息，更大的權限，模擬一個更強力的攻擊。”王和說，“結果發現攻擊者面對我們的系統最后生成圖片是一個個色塊，不要說還原人臉信息，基本上連人臉輪廓都看不出來。模擬實驗證明，我們的系統在隱私保護效果上取得了非常大的跨越。”

在此基礎上，研究人員用AI技術對擾動強度進行約束，該系統能分析擾動強度，并對人臉識別精度與隱私安全進行權衡。在保證人臉識別精度的同時，又能滿足隱私安全需求。