而骗它的人，是来自莫斯科国立大学和华为莫斯科研究院的科学家。

他们的符上有特殊纹路，可以迷惑AI，这叫对抗攻击。攻击成本很低，符是普通的彩色打印机打出来的。

团队说，这是一个“很容易复现 (Easily Reproducible) ”的方法，还不光对ArcFace这一只AI有效，可以迁移到其他AI上，骗无止境。

网友说：开个公司，可以量产了。

并且，画符的算法已经开源了，那大家都可以生成欺骗人脸识别AI的符了。

说不定有一天，监控系统对陌生人出没，就没有抵抗力了。果然还是人类比较危险。

那么，先来看看画符的原理吧。

画符的原理

你可能听说过，在图像里加上一些噪声，熊猫就变成了长臂猿：

对抗性攻击在数字领域很容易实现，但在真实世界中，对抗攻击的效率大打折扣。

研究团队想到了一个方法，首先，他们琢磨出了一种新的离面变换方法，把一张平面矩形图像弯曲成三维抛物线，再进行旋转。

第二步，是把高质量的人脸图像投到变形后的“贴纸”上，并加入随机噪声。

然后，将由此获得的图像转换为ArcFace的标准输入。

最后，降低两个参数的总和：初始矩形图像的TV损失，和最后获得的图像的嵌入与ArcFace计算出来的锚嵌入之间的余弦相似性。

如此生成的对抗攻击图像，就不是一张平面的纸了，而是三维立体，能直接贴合人类脑门。

研究团队一开始完全随机地加入噪声。

在对抗样本生成阶段，他们采用的是具有动量的多次迭代FGSM方法（Goodfellow提出的经典对抗样本生成方法）。攻击分成两个阶段，第一阶段的迭代步长为5/255，动量为0.9；第二阶段的迭代步长变成1/255，动量为0.995。

在第一阶段的100次迭代之后，使用最小二乘法，通过线性函数对最后100个验证值进行插值。如果线性函数的斜率不小于0，则进入攻击的第二阶段。

在第二阶段的200次迭代之后，同样进行这一操作，如果线性函数的斜率不小于0，就停止攻击。

有趣的现象出现了。

比较成功的对抗图像，看上去都有点像人类的眉毛。

实际上，为了找到人脸的那个部位最适合投影到“贴纸”上，研究团队进行了数字模拟实验。他们发现贴纸的位置较低时能得到更好的验证值。即使限制了贴纸的位置，强制它高于眼睛，贴纸也总是会向下移动到更接近眼睛的位置。

而此前的研究也表明，眉毛是人类面部识别中最重要的特征。

不过最后生成的“贴纸”并不是通用的，是根据每个人的照片“私人定制”的。

团队请了10个人类，来测试定制效果。4女6男，结果如下：

蓝色，是一个人戴上普通帽子前后，AI判断的类别相似度，在70%上下。

橙色，是一个人贴上对抗符前后，AI判断的类别相似度，降到了20%以下。

定制成功，鉴定完毕。

这套攻击方法，不止是对ArcFace有效，其他的的Face ID模型也一样扛不住。

△LResNet100E等模型基线相似度和被攻击后的相似度之差

骗过AI一向不难

其实，AI在对抗攻击面前，一向没什么抵抗力。

乌龟变步枪的旧事，这里不赘述，毕竟在那之后又有了许多先进的玩法：

比利时鲁汶大学的两位少年，就曾经拿一幅炫彩的对抗图画，挡在自己的肚子前面。

这样，目标检测界的翘楚YOLOv2，不光看不出他们是人类，连那里有物体存在都发现不了。

优秀的隐身衣，令人瑟瑟发抖。

另外，腾讯团队也曾经用对抗图，骗过一辆特斯拉。

（编辑：核心网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!