Kunci ‘Master’ Universal untuk Pengenalan Wajah melalui Pembelajaran Mesin

Peneliti Italia telah mengembangkan metode yang memungkinkan untuk melewati pemeriksaan ID pengenalan wajah untuk pengguna mana pun, di sistem yang telah dilatih pada Jaringan Saraf Dalam (DNN).

Pendekatan ini bekerja bahkan untuk pengguna target yang mendaftar ke sistem setelah DNN dilatih, dan berpotensi memungkinkan penyedia sistem enkripsi ujung-ke-ujung untuk membuka data pengguna mana pun melalui autentikasi ID wajah, bahkan dalam skenario di mana itu tidak seharusnya memungkinkan.

Makalah dari Departemen Teknik Informasi dan Matematika di Universitas Siena, menguraikan kemungkinan kompromi sistem verifikasi ID wajah yang dienkripsi oleh pengguna dengan memperkenalkan gambar wajah ‘beracun’ ke dalam set data pelatihan yang memuatnya.

Sekali dimasukkan ke dalam set pelatihan, pemilik wajah beracun dapat membuka akun pengguna mana pun melalui autentikasi ID wajah.

Gambar yang digunakan dalam sistem ‘Kunci Master’, untuk dimasukkan pada fase pelatihan. Wajah ‘master’ adalah Mauro Barni, salah satu penulis makalah penelitian. Sumber: https://arxiv.org/pdf/2105.00249.pdf

Sistem ini memungkinkan penyerang untuk menyamar sebagai siapa pun, tanpa perlu mengetahui siapa pengguna target.

Serangan Universal memanfaatkan desain ekonomis sistem ID wajah, yang, karena kekhawatiran tentang latensi dan pertimbangan privasi, tidak memerlukan konfirmasi identitas orang yang mencari akses, tetapi untuk memastikan bahwa orang tersebut (sebagaimana terwakili dalam umpan video atau foto) cocok dengan karakteristik wajah yang sebelumnya direkam untuk pengguna.

Pada dasarnya, fitur yang sudah ditangkap dari pengguna target mungkin telah diverifikasi dengan cara lain (2FA, presentasi dokumen resmi, panggilan telepon, dll.) pada saat pendaftaran, dengan informasi wajah yang dihasilkan sekarang sepenuhnya dipercaya sebagai token autentikasi.

Arsitektur tipikal untuk sistem pendaftaran ID wajah.

Jenis arsitektur set terbuka ini memungkinkan pengguna baru untuk didaftarkan tanpa perlu memperbarui pelatihan pada DNN yang mendasarinya.

Serangan Universal dikodekan ke dalam fitur wajah penyerang pada titik masuk ke dalam dataset. Ini berarti bahwa tidak ada kebutuhan untuk mencoba menipu kemampuan ‘liveness’ sistem ID wajah, atau menggunakan topeng atau jenis gambar diam lainnya atau subterfuge serupa yang digunakan dalam serangan terbaru selama sepuluh tahun terakhir.

Pendekatan ini sangat efektif bahkan ketika data beracun mewakili hanya 0,01% dari data input, dan dikarakteristikan oleh peneliti sebagai serangan ‘Kunci Master’ backdoor. Keberadaan Wajah Master di algoritma akhir tidak mempengaruhi fungsionalitas normal pengguna lain yang berhasil masuk dengan ID wajah.

Arsitektur Dan Validasi

Sistem ini diterapkan pada jaringan Siamese, dengan bobot jaringan diperbarui melalui back-propagation sepanjang pelatihan, melalui mini-batch gradient descent.

Batch dimanipulasi sehingga sebagian sampel rusak. Karena ukuran batch yang digunakan dalam pelatihan sangat besar, dan musuh tersebar di antara distribusi, ini menghasilkan ‘pasangan beracun’, di mana semua gambar yang valid akan ‘cocok’ dengan Wajah Master.

Sistem ini divalidasi melawan VGGFace2 dataset untuk pengenalan wajah, dan diuji melawan Labeled Faces in the Wild (LFW) dataset, dengan semua gambar tumpang tindih dihapus.

Implementasi

Di luar kemungkinan bahwa penyedia layanan dapat menggunakan serangan Siena untuk memperkenalkan backdoor ke dalam sistem enkripsi yang buta penyedia (seperti yang digunakan oleh Apple, antara lain), para peneliti mempostulatkan skenario umum di mana perusahaan korban tidak memiliki sumber daya yang cukup untuk melatih model, dan mengandalkan Penyedia Layanan Pembelajaran Mesin (MLaaS) untuk melakukan bagian dari infrastruktur mereka. menjadi sebuah backdoor ke dalam sistem enkripsi yang seharusnya buta penyedia (seperti yang digunakan oleh Apple, antara lain), para peneliti mempostulatkan skenario umum di mana perusahaan korban tidak memiliki sumber daya yang cukup untuk melatih model, dan mengandalkan Penyedia Layanan Pembelajaran Mesin (MLaaS) untuk melakukan bagian dari infrastruktur mereka.