‘Meistergesichter’, die über 40% der Gesichts-ID-Authentifizierungssysteme umgehen können

Forscher aus Israel haben ein neuronales Netzwerk entwickelt, das in der Lage ist, ‘Meistergesichter’ zu generieren – Gesichtsbilder, die jeweils mehrere IDs imitieren können. Die Arbeit legt nahe, dass es möglich ist, solche ‘Meisterschlüssel’ für mehr als 40% der Bevölkerung zu generieren, indem nur 9 durch das StyleGAN-Generative-Adversarial-Netzwerk (GAN) synthetisierte Gesichter verwendet werden, über drei führende Gesichtserkennungssysteme.

Die Studie ist eine Zusammenarbeit zwischen der Blavatnik School of Computer Science und der School of Electrical Engineering, beides an der Universität Tel Aviv.

Bei der Testung des Systems fanden die Forscher heraus, dass ein einzelnes generiertes Gesicht 20% aller Identitäten in der offenen Datenbank Labeled Faces in the Wild (LFW) der Universität von Massachusetts entsperren konnte, einer gemeinsam genutzten Ressource, die für die Entwicklung und das Testen von Gesichts-ID-Systemen verwendet wird und die Benchmark-Datenbank für das israelische System darstellt.

Die Arbeitsweise des israelischen Systems, das den StyleGAN-Generator verwendet, um iterativ nach ‘Meistergesichtern’ zu suchen. Quelle: https://arxiv.org/pdf/2108.01077.pdf

Die neue Methode verbessert eine ähnliche jüngere Studie der Universität Siena, die einen privilegierten Zugriff auf das Machine-Learning-Framework erfordert. Im Gegensatz dazu schließt die neue Methode verallgemeinerte Merkmale aus öffentlich zugänglichen Materialien und verwendet sie, um Gesichtsmerkmale zu erstellen, die eine große Anzahl von Identitäten umfassen.

Entwicklung von Meistergesichtern

StyleGAN wird in diesem Ansatz zunächst unter einer Black-Box-Optimierungsmethode verwendet, die sich (nicht überraschend) auf hochdimensionale Daten konzentriert, da es wichtig ist, die breitesten und verallgemeinertesten Gesichtsmerkmale zu finden, die ein Authentifizierungssystem erfüllen.

Dieser Prozess wird dann iterativ wiederholt, um Identitäten zu umfassen, die nicht in der ersten Runde kodiert wurden. In verschiedenen Testbedingungen fanden die Forscher heraus, dass es möglich war, eine Authentifizierung für 40-60% mit nur neun generierten Bildern zu erzielen.

Aufeinanderfolgende Gruppen von ‘Meistergesichtern’, die in der Studie über verschiedene Coverage-Search-Methoden, einschließlich LM-MA-ES, erhalten wurden.

Das System verwendet einen evolutionären Algorithmus, der mit einem neuronalen Prädiktor gekoppelt ist, der die Wahrscheinlichkeit schätzt, dass der aktuelle ‘Kandidat’ besser verallgemeinert als der p-Perzentil der Kandidaten, die in vorherigen Runden generiert wurden.

Die Filterung der generierten Kandidaten in der Architektur des israelischen Systems.

LM-MA-ES

Das Projekt verwendet den Limited-Memory-Matrix-Adaptation-Algorithmus (LM-MA-ES), der für eine 2017 initiierte Initiative der Forschungsgruppe für Machine Learning für automatisches Algorithmus-Design entwickelt wurde, ein Ansatz, der gut für die hochdimensionale Black-Box-Optimierung geeignet ist.

Der LM-MA-ES-Algorithmus gibt Kandidaten zufällig aus. Obwohl dies dem Zweck des Projekts gut geeignet ist, ist ein zusätzlicher Bestandteil erforderlich, um zu bestimmen, welche Gesichter die besten Kandidaten für die Authentifizierung über Identitäten hinweg sind. Daher erstellten die Forscher einen ‘Erfolg-Prädiktor’-Neural-Classifier, um die Flut der Kandidaten in die besten passenden Gesichter für die Aufgabe zu sieben.

Begründung des Erfolg-Prädiktors, der im israelischen Gesichts-Identifizierungs-Spoofing-Projekt verwendet wird.

Auswertung

Das System wurde gegen drei CNN-basierte Gesichtsdeskriptoren getestet: SphereFace, FaceNet und Dlib, jedes System enthält eine Ähnlichkeitsmetrik und eine Verlustfunktion, die nützlich sind, um die Genauigkeitswerte des Systems zu validieren.

Der Erfolg-Prädiktor ist ein Feed-Forward-Neuronales-Netzwerk, das aus drei vollständig verbundenen Schichten besteht. Die erste davon verwendet BatchNorm-Regularisierung, um die Konsistenz der Daten vor der Aktivierung zu gewährleisten. Das Netzwerk verwendet ADAM als Optimierer, mit einer ambitionierten Lernrate von 0,001 über Batch-Größen von 32 Eingabebildern.

Ausgabe der drei Architekturen.

Alle drei Algorithmen wurden für 26.400 Fitness-Funktion-Aufrufe mit dem gleichen Satz von fünf Seeds trainiert.

Die Forscher hatten zu diesem Zeitpunkt festgestellt, dass längere Trainingsprozesse dem System nicht zugute kamen; effektiv sucht der israelische Ansatz danach, wichtige Daten aus einer frühen Phase des Modelltrainings zu gewinnen, in der nur die höchsten Merkmale noch erkannt wurden. Es ist erwähnenswert, dass dies eine Art Geschenk ist, was die Rahmenökonomie betrifft.

Nachdem sie Baseline-Ergebnisse mit Facebooks Python-basiertem NeverGrad-Gradienten-freiem Optimierungs-Umfeld hergestellt hatten, wurde das System gegen eine Reihe von Algorithmen profiled, einschließlich verschiedener Marken des Differential-Evolution-Heuristik.

Die Forscher fanden heraus, dass ein ‘gieriger’ Ansatz auf der Grundlage von Dlib seine Konkurrenten übertraf und es schaffte, neun Meistergesichter zu erstellen, die 42%-64% der Testdaten entsperren konnten. Die Anwendung des Erfolg-Prädiktors des Systems verbesserte diese sehr günstigen Ergebnisse weiter.

Die Studie behauptet, dass ‘gesichtsbasierte Authentifizierung extrem anfällig ist, auch wenn es keine Informationen über die Zielidentität gibt’, und die Forscher betrachten ihre Initiative als einen gültigen Ansatz für eine Sicherheits-Intrusionsmethodik für Gesichtserkennungssysteme.