Double Down on Defense: Strengthening Deep Perceptual Hashes against Evasion Attacks without Retraining

技術要約：DualShield – 回避攻撃に対するディープ知覚ハッシュの強化

問題提起
近似重複画像の照合は、コンテンツモデレーション、プロベナンス（由来）検証、および著作権保護において極めて重要である。現代のシステムは、視覚的に類似した画像をコンパクトで比較可能な表現にマッピングするために、ディープ知覚ハッシュに依存している。しかし、これらのシステムは**回避攻撃（evasion attacks）**に対して脆弱である。これは、攻撃者が既知の画像に対して知覚不可能な摂動を加えることで、ハッシュ表現を照合閾値を越える程度に変化させ、近似重複を非一致として誤分類させる手法である。

既存の防御策には、以下のトレードオフが存在する：

1. 経験的堅牢性（Empirical Robustness）： 特定の既知の攻撃には耐性を持つものの、より強力、あるいは未知の戦略に対する保証はない。
2. 証明付き堅牢性（Certified Robustness）： CertPHashのような最近のアプローチは、限定的な摂動に対する形式的な保証を提供するが、専用の堅牢なハッシュモデルを一から学習させる必要がある。これは、プロダクション環境で使用されている既存の学習済みハッシュシステムへの導入を困難にしている。

本研究が取り組む核心的な問いは、「既存のディープ知覚ハッシュの基礎となるモデルを再学習したり変更したりすることなく、その経験的および証明付きの堅牢性を両立して向上させることは可能か？」という点である。

手法：DualShield
著者らは、ハッシュモデル $f$ 自体を変更することなく、画像のライフサイクルの2つの異なる段階で機能するプラグイン型の防御メカニメントであるDualShieldを提案している。これは、以下の2つの相補的なメカニズムを組み合わせたものである。

1. 公開時の硬化（Publication-Time Hardening）：

   • 目的： 参照画像がデータベースに保存・公開される前に、プロアクティブに最適化すること。
   • メカニズム： 元の参照画像 $r$ に対して、最適化された知覚不可能な摂動 $\delta_h$ を加え、硬化された参照画像 $r^*$ を作成する。
   • 最適化： この摂動は、正のペア（参照画像とその良性バリアント）における「平滑化されたマッチング・マージン」を最大化しつつ、負のペア（無関係な画像）からの分離を維持するように計算される。これにより、参照画像をハッシュ空間の局所的に脆弱な領域から遠ざけ、攻撃者が修正されたクエリを決定境界へと押し込むことを困難にする。
   • 制約： この変更は、知覚不可能な範囲（例：$\ell_\infty$ ノルムによる制限）に制約され、各参照画像に対して一度だけ行われる。

2. 照合時のランダム平滑化（Matching-Time Randomized Smoothing）：

   • 目的： クエリ画像に対する小さな敵対的摂動に対して、一致／不一致の判定を安定させること。
   • メカニズム： クエリ画像 $q$ が送信された際、システムは単一の決定論的なハッシュ比較には依存しない。代わりに、硬化された参照 $r^*$ とクエリ $q$ の両方に対して、ガウスノイズ $\eta_r, \eta_q$ を独立にサンプリングする。
   • 集計： 基盤となるハッシュマッチャー $M_f$ を、これらの摂動を加えたペアに対して繰り返し評価する。最終的な決定は、$N$ 回のサンプルを通じた多数決（または最も確率の高いクラス）によって決定される。
   • 証明： このプロセスにより、照合の決定を統計的に堅牢なものへと変換する。もし多数決のクラス確率 $p_A$ が 0.5 を超える場合、形式的な$\ell_2$ 証明半径 $R_2 = \sigma \Phi^{-1}(p_A)$ を算出できる。これにより、この半径内にあるクエリへのいかなる加算的な摂動も、照合の決定を変更できないことが保証される。

主な貢献

• プラグイン型防御： 既存のディープ知覚ハッシュの基礎となるハッシュアーキテクチャを再学習や変更を行うことなく、DualShieldはそれを強化する。
• デュアルメカニズム設計： 「公開時の硬化（参照の最適化）」と「照合時のランダム平滑化（決定の安定化）」を組み合わせることで、相補的な脆弱性の源泉に対処するという独自の設計を実現している。
• 形式的な保証： 本来は証明をサポートしていない多様な既存ハッシュモデルに対し、$\ell_2$ 堅牢性の証明を提供する。
• 包括的な評価： 本手法は、8種類の異なるディープ知覚ハッシュモデル（NeuralHash, DINOHash, HybridHash, およびCertPHashのバリアントを含む）と3つのデータセット（ImageNet, MS-COCO, Stable-Diffusion）を用いて評価されている。

実験結果
評価の結果、経験的および証明付きの堅牢性の両面で大幅な改善が示された：

• 敵対的堅牢性（ホワイトボックス）： 既存のハッシュに対する適応型ホワイトボックス攻撃の平均攻撃成功率（ASR）は98.6%であった。DualShieldはこれを**11.8%**に低減させた。HybridHashやCertPHashのバリアントのような特定のモデルでは、ASRはほぼゼロ（0–1%）まで低下した。
• 敵対的堅牢性（ブラックボックス）： 平均ブラックボックスASRは20.6%から**1.3%**へと減少した。評価された8つのハッシュのうち6つは、テストされた予算範囲内でブラックボックスASRがゼロであった。
• 証明付き堅牢性： DualShieldは、評価されたすべてのハッシュにおいて約0.3の証明付き $\ell_2$ 半径を確立した。これは平滑化のみのベースライン（約0.25）よりも有意な改善であり、これまで存在しなかった場所に形式的な保証を提供している。
• 変換への堅牢性： ほとんどのハッシュにおいて、DualShieldは一般的な変換（圧縮、クロッピング、回転）に対する低い回避率を維持した。しかし、一部のモデル（例：SSCD）では、敵対的堅像性が高まることで、幾何学的変換（例：クロッピング/回転による回避率が0.5%から23.6%へ上昇）に対する回避率が高まるというトレードオフが観察された。
• 有用性と忠実度：
  • 衝突（Collisions）： DualShieldは概して元の衝突率を維持しており、ほとんどのハッシュにおいて無関係な画像に対する衝突率は0%またはゼロに近い状態を保っている。
  • 視覚的品質： 硬化された画像は元の画像と視覚的に類似していた。C-PDQやC-PDNAのようなモデルは高い構造的類似性（SSIM > 0.9）を示したが、DINOHashのような他のモデルは、同等の堅牢性を達成するために、やや目に見えるテクスチャの変化を必要とした。

意義と主張
本論文は、堅牢なディープ知覚ハッシュを実現するために、必ずしもコアとなるハッシュモデルの再設計や再学習が必要ではないことを、DualShieldが示していると主張している。むしろ、公開される参照を保護し、照合決定を強化することで、展開されているシステムを拡張するプラグイン層として堅牢性を付加することが可能である。

著者らは、経験的堅牢性（特定の攻撃への耐性）が向上している一方で、主要な貢献は、既存のシステムに対して形式的かつ証明付きの最悪ケースの保証を提供できる能力にあると強調している。これにより、複雑なディープラーニングモデルの再学習という膨大なコストをかけることなく、現実世界のプラットフォームが証明付きの堅牢性を採用できるようになる。本研究は、堅牢性が視覚的照合システムにおける「加法的なコンポーネント」として扱われるという、より広い設計原則を示唆しており、証明付きかつ敵対的に堅牢な照合を、より実用的なデプロイメントへと近づけている。