ARMOR++: Agentic Orchestration of a Multi-Domain Primitive Set for Transferable Attacks on Deepfake Detectors
本論文は、Qwen2.5-VLとQwen3を活用して多様な敵対的プリミティブをオーケストレートする堅牢なマルチエージェントフレームワークであるARMOR++を紹介し、厳格なブラックボックス制約下において、既存の最先端手法と比較してディープフェイク検知器に対する転移性と攻撃成功率を大幅に向上させるものである。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
インターネットを、誰もが絵を描くことができる巨大で賑やかなアートギャラリーだと想像してみてください。長い間、その絵が本物か偽物かを知りたいときは、ただ自分の目で眺めるだけで十分でした。しかし最近、「人工知能」という新しい種類の魔法の筆が登場しました。それは、専門家でさえ区別がつかないほど完璧に顔を描き出すことができます。これにより、高度な「いたちごっこ」が発生しています。一方には、これらの魔法の筆が残した微細で目に見えない欠陥を見つけ出すように訓練された「探偵」（AIモデル）がいます。もう一方には、人間の目には見た目が変わらないように、偽の顔に絶妙なノイズを加えることで、探偵を欺こうとする「ハッカー」がいます。これは単なる芸術の問題ではありません。信頼の問題なのです。もし何が現実であるか判断できなければ、私たちはニュースやセキュリティカメラ、あるいは自分自身の目さえも信じることができなくなります。大きな疑問は、私たちのデジタル探偵たちは本当に信頼できるのか、それとも巧妙なトリックに簡単に騙されてしまうのか、ということです。
ここで、これらの探偵をテストするために設計された、超スマートな「ハッカー」チーム、**ARMOR++**が登場します。ディープフェイク検出器を、クラブのセキュリティガードだと考えてください。あるガードは（畳み込みニューラルネットワークのように）顔の形だけを見ます。また別のガードは（ビジョン・トランスフォーマーのように）画像全体とそのパーツがどのように組み合わさっているかを見ます。問題は、ある種のガードを欺くトリックが、別の種類のガードには通用しないことが多いということです。これまでの攻撃の試みは、壁に一種類の石を投げつけるようなものでした。時には効果がありましたが、多くの場合、壁は強すぎたり、異なる素材で作られていたりしました。
ARMOR++が特別である理由は、単に一つの石を投げるのではなく、互いに会話をする専門家チームを送り込むからです。このチームは、二人の非常に賢い「エージェント」（大規模言語モデルに基づくコンピュータプログラム）によって率いられています。第一のエージェントである**アナリスト（分析官）は、偽の顔を観察し、ぼやけたエッジや奇妙な質感といった「変な箇所」を見つけ出し、「ここを攻撃せよ！」と指示を出します。第二のエージェントであるコンダクター（指揮官）**は、コーチのような役割を果たします。彼は単に一つの攻撃を選ぶのではなく、それぞれが独自の超能力を持つ5つの異なる「攻撃者」の分隊を管理します。
- ブレンダー（攪拌者）：画像のあらゆる場所に、滑らかで密なノイズの層を加えます。
- ピンチャー（つまむ者）：ガードを混乱させるために、わずかな特定のピクセルを微調整します。
- シフター（ずらす者）：ゴムシートを伸ばすように、顔を優しく歪ませます。
- 周波数ウィザード（周波数の魔術師）：人間には見えないがコンピュータには見える方法で、画像の「色」を変えます（ラジオのチューニングを回すようなものです）。
- ブロック・シャッブラー（ブロックの入れ替え者）：画像をパズルのピースのように切り刻み、それらを入れ替えます。
ARMOR++が特別なのは、ターゲットとなるガードに助けを求めることなく、「推測と確認」のゲームを行う点です。彼らは、中身を熟知している「練習用のガード」（代理モデル）を使って練習を行います。彼らは5つの異なる攻撃者の組み合わせを試し、スマートなエージェントの声を聞き、リアルタイムで戦略を調整します。もし攻撃がうまくいかなければ、チームは諦めるのではなく、ルールを変え、異なる攻撃の組み合わせを試し、ターゲットのガードを欺く完璧な組み合わせが見つかるまで突き進みます。
論文によると、このチームベースのアプローチは極めて効果的であることが判明しました。大規模な偽の顔のコレクション（AADD-2025ベンチマーク）でテストした際、ARMOR++は、一度も見せたことのない「盲目のガード」（未知のモデル）を、低品質の画像では44.3%、高品質の画像では**32.1%**の割合で欺くことに成功しました。比較すると、これまでの最高峰のチーム（ARMORと呼ばれます）は、これらを約39.6%と28.3%の割合でしか欺けず、標準的な「単一攻撃」の手法は、せいぜい20%をわずかに超える程度でした。
研究者たちは、ガードが攻撃に抵抗するための基本的な訓練（敵対的訓練など）を受けている場合でも、これらのトリックが機能するかどうかを検証しました。それでもなお、ARMOR++は最も成功しており、ガードを約19.8%の割合で欺きました。これに対し、他の手法はほぼゼロまで落ち込みました。このことは、私たちの現在の最高のセキュリティシステムでさえ、このようなスマートで多角的なトリックに対して、重大な「盲点」を抱えていることを示唆しています。著者たちは、検出器は偽物を見抜く能力を高めてはいるものの、特に、考え、適応し、多くの異なる種類のトリックを同時に使いこなす攻撃者に直面した場合、完全に信頼するにはまだ不十分であると結論付けています。これは、偽物を作る側と本物を検知する側の競争において、検出器にはまだやるべきことが山積みであるという、警鐘を鳴らしています。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。