DiffMI: Breaking Face Recognition Privacy via Diffusion-Driven Training-Free Model Inversion

1. Enunciato del Problema

I sistemi di riconoscimento facciale si basano su rappresentazioni basate su embedding (vettori di caratteristiche) piuttosto che su immagini grezze per proteggere la privacy degli utenti. Tuttavia, gli Attacchi di Inversione del Modello (MIA) costituiscono una minaccia critica tentando di ricostruire immagini facciali da questi embedding, potenzialmente portando a furto d'identità, spoofing e sorveglianza.

I metodi MIA esistenti affrontano tre limitazioni principali:

• Dipendenza dall'Addestramento: La maggior parte degli attacchi ad alta fedeltà richiede l'addestramento di un generatore specifico per il target (ad es. GAN o DeconvNet) per ogni specifico modello di riconoscimento facciale e insieme di identità. Ciò comporta costi computazionali massicci e manca di generalizzabilità verso identità o modelli non visti.
• Controllabilità Limitata nei Metodi Senza Addestramento: Gli approcci esistenti privi di addestramento (per lo più basati su GAN) soffrono di una controllabilità dell'identità limitata. Spesso producono immagini a bassa risoluzione o in scala di grigi e faticano a ricostruire identità sfumate senza overfitting.
• Overfitting Avversario: L'applicazione ingenua di attacchi avversari ai modelli di diffusione causa gravi artefatti visivi (alone, texture a chiazze) perché l'ottimizzazione spinge i codici latenti fuori dalla varietà del prior gaussiano, portando a falsi positivi in cui il modello riconosce l'artefatto piuttosto che l'identità.

2. Metodologia: DiffMI

Gli autori propongono DiffMI, il primo attacco di inversione del modello guidato dalla diffusione e senza addestramento. Utilizza un Modello Probabilistico di Denoising Diffusion (DDPM) incondizionato, fisso e pre-addestrato, per ricostruire volti dagli embedding senza alcun addestramento specifico per il target.

Il framework è composto da tre fasi principali (illustrate nella Fig. 3 del documento):

A. Inizializzazione Robusta del Codice Latente (Passo a)

Invece del campionamento casuale, DiffMI pre-genera un pool di codici latenti robusti per garantire punti di partenza di alta qualità. Ciò comporta un processo di filtraggio in due fasi:

1. Normalità Statistica (Test K2): Utilizza il test K2 di D'Agostino per verificare che il codice latente segua una distribuzione gaussiana ($p_K \geq \tau_K$). Ciò garantisce che il codice aderisca al prior del modello di diffusione, riducendo il rischio di artefatti durante la denoising.
2. Plausibilità Visiva (MTCNN): Genera un'immagine dal codice latente e utilizza MTCNN per verificare la presenza di un volto rilevabile ($p_D \geq \tau_D$).

• Risultato: Un pool riutilizzabile di codici latenti di alta qualità applicabile a qualsiasi modello target.

B. Selezione dei Codici Latenti Top-N (Passo b)

Invece di selezionare un singolo codice iniziale "migliore", DiffMI seleziona i Top-N candidati dal pool basandosi sulla similarità coseno tra i loro embedding generati e l'embedding target.

• Razionale: Il codice con la similarità iniziale più alta non garantisce il miglior risultato finale dopo l'ottimizzazione. Selezionare più candidati ($N$) fornisce punti di partenza diversificati per la fase di raffinamento.

C. Raffinamento Avversario Classificato (Passo c)

I codici $N$ selezionati subiscono un'ottimizzazione avversaria sequenziale e fine-granulare per massimizzare la similarità con l'embedding target.

• Strategia Avversaria Classificata: I codici sono ottimizzati in ordine della loro similarità iniziale. Il processo si interrompe anticipatamente se qualsiasi codice raggiunge una soglia di confidenza, migliorando l'efficienza.
• Obiettivo Consapevole della Confidenza: Un'innovazione critica è l'uso di una soglia di confidenza statisticamente fondata ($\tau_C$). L'ottimizzazione termina non appena il punteggio di similarità raggiunge $\tau_C$ (derivato dalla similarità massima di immagini reali della stessa identità).
  • Vantaggio: Ciò previene l'overfitting. Massimizzare ciecamente la similarità porta spesso ad artefatti avversari che ingannano il modello target ma falliscono nel generalizzare. Fermarsi a $\tau_C$ garantisce che la ricostruzione rifletta la vera identità piuttosto che le debolezze specifiche del modello.
• Attacco Fine-Granulare: Utilizza APGD (white-box) o GreedyPixel (black-box) per apportare aggiornamenti localizzati e controllati con precisione allo spazio latente, evitando gli aggiornamenti grossolani che causano artefatti di diffusione.

3. Contributi Chiave

1. Primo Attacco Guidato dalla Diffusione Senza Addestramento: DiffMI è il primo metodo a sfruttare modelli di diffusione incondizionati per l'inversione del modello senza ri-addestrare o fine-tunare il generatore.
2. Preservazione dell'Identità Principiata: Introduce una pipeline innovativa che combina inizializzazione robusta del latente, selezione classificata e un criterio di arresto consapevole della confidenza per bilanciare la fedeltà dell'identità con la soppressione degli artefatti.
3. Generalizzazione Superiore: A differenza dei metodi dipendenti dall'addestramento che richiedono un nuovo addestramento per nuovi modelli, DiffMI si applica direttamente a modelli target e identità non visti.
4. Valutazione Completa: Convalida l'attacco in ambienti white-box e black-box, dimostrando efficacia contro modelli standard e "resilienti all'inversione".

4. Risultati Sperimentali

Gli autori hanno valutato DiffMI su due dataset (LFW e CelebA-HQ) e quattro modelli di riconoscimento facciale (FaceNet, ArcFace, DCTDP, PartialFace).

• Prestazioni vs Baseline:
  • DiffMI supera il miglior metodo precedente basato su GAN senza addestramento (MAP2V) del 4,01% – 9,82% in termini di accuratezza di corrispondenza dell'identità.
  • Raggiunge tassi di successo dell'attacco del 84,42% – 92,87% anche contro modelli progettati esplicitamente per essere resistenti all'inversione (DCTDP e PartialFace).
  • Eguaglia o supera le prestazioni dei metodi dipendenti dall'addestramento (che richiedono giorni di addestramento e milioni di query) impiegando solo 98–256 secondi per immagine.
• Qualità Visiva: DiffMI produce ricostruzioni complete in stile ritratto (256x256) con alta fedeltà visiva, mentre i metodi DeconvNet dipendenti dall'addestramento producono spesso ritagli a bassa risoluzione (64x64) o sfocati.
• Studio con Utenti: In uno studio con partecipanti umani, il 71,5% delle ricostruzioni è stato correttamente identificato come la persona target e l'80,5% è stato correttamente abbinato in un contesto a scelta multipla, confermando il realismo percettivo degli attacchi.
• Bias Demografico: L'attacco mostra un calo minimo delle prestazioni (<1,3%) sui sottoinsiemi di minoranze razziali e di età avanzata, attribuito alla diversità del pool latente pre-generato.

5. Significato e Implicazioni

• Vulnerabilità della Privacy: Lo studio rivela che i sistemi di riconoscimento facciale basati su embedding sono fondamentalmente vulnerabili. Anche le difese "resilienti all'inversione" falliscono contro attacchi di diffusione senza addestramento, suggerendo che la dipendenza dal comportamento al momento dell'inferenza rende questi sistemi intrinsecamente difficili da proteggere.
• Cambiamento di Paradigma: I risultati indicano che i Modelli di Diffusione sono priors superiori per gli attacchi di inversione rispetto alle GAN, offrendo migliore risoluzione, controllabilità e preservazione dell'identità senza il sovraccarico computazionale dell'addestramento.
• Sfide per la Difesa: I risultati suggeriscono che le attuali misure di privacy (archiviazione di embedding invece di immagini) sono insufficienti. Le future difese devono concentrarsi sul rilevamento robusto dell'inversione, strategie di mitigazione e architetture che preservano la privacy e possono resistere a priors generativi ad alta fedeltà.

In conclusione, DiffMI dimostra che la ricostruzione ad alta fedeltà dell'identità dagli embedding è fattibile, efficiente e generalizzabile, costituendo una grave minaccia per la privacy dei sistemi biometrici attualmente implementati nel mondo reale.