Casting the Net! Revisiting MasterFace Impersonation Attacks

技術要約：ネットを投じる！MasterFaceなりすまし攻撃の再考

問題提起
顔認識システム（FRS）は、根本的なセキュリティ上の脅威に直面している。それは、攻撃者が被害者のアイデンティティとして認証を試みる「なりすまし」である。現実的な導入シナリオにおいて、攻撃者の能力は厳格に制限されている。攻撃者は、内部システムのパラメータ、登録されたテンプレート、あるいは対象となるアイデンティティの顔画像へのアクセス権を持たない。さらに、相互作用は、限られた固定数の認証試行（例：5〜30回の試行）と、それによって得られるバイナリの「承認/拒否」の決定のみに限定される。これらの制約下では、標準的なセキュリティ・ベースラインは、**誤一致率（FMR）**である。これは、「ゼロ努力のインポスター（zero-effort impostor）」（ランダムな顔）が誤って承認される確率を表す。

歴史的に、非一様なバイオメトリック分布の特性を利用して複数のアイデンティティと一致するように設計された合成顔であるMasterFace攻撃は、現代の最先端のFRSに対しては効果がないと考えられてきた。先行研究では、MasterFaceは特定のテンプレート抽出器に対して敏感すぎ、現実的な脅威モデル下での標準的なFMRベースラインよりも、なりすまし率を有意に高めることはできないと示唆されていた。

手法
著者らは、現実世界のFRSデプロイメントのバックエンドとして使用されている公開商用API（例：AWS Rekognition、Tencent Cloud）への正当なアクセスを活用することで、MasterFaceの概念を復活させる新しいなりすまし攻撃を提案している。攻撃パイプラインは以下の3つのステージで構成される：

1. ネットに基づく定式化（最大被覆問題）：
   画像空間で単一のMasterFaceを探索する代わりに、著者らは攻撃をテンプレート空間におけるものとして定式化する。彼らは、$\tau$-近傍が顔テンプレート分布の被覆を最大化するような$Q$個のテンプレートの集合を「ネット（網）」として定義する。このネットの探索は、古典的な組合せ最適化問題である**最大被覆問題（Maximum Coverage Problem, MCP）**として定式化される。目標は、ランダムにサンプリングされたターゲットテンプレート$t$をカバーする確率を最大化するテンプレートの集合$\{z_1, \dots, z_Q\}$を見つけることである。

2. グラム分解によるAPIクエリの活用：
   攻撃者は、対象となるFRSのテンプレート抽出器や登録済みテンプレートに直接アクセスすることはできない。しかし、ターゲットシステムと同じ商用APIを購入して利用することは可能である。

   • 攻撃者は、自身の選択した顔画像のペアを用いてAPIにクエリを投げ、信頼度スコア（類似度スコア）を取得する。
   • **グラム分解（Gram Decomposition）**を用いることで、攻撃者はスコア行列$S$（ここで$S = A^T A$であり、$A$はAPIから抽出された特徴量を含む）から行列$L$を構築する。
   • このプロセスにより、回転されたテンプレート（$L = RA$、ここで$R$は未知のユニタリ回転行列）が得られる。正確な向きは不明であるが、テンプレート空間の幾何学的構造は等長変換（isometry）に対して保持される。
   • 極めて重要な点は、最大被覆問題は等長変換に対して不変であることである。したがって、攻撃者は元の空間における最適なネットに対応する「回転されたネット」を見つけるために、回転された特徴量上でMCPを解くことができる。

3. 顔の復元：
   回転されたネットが特定された後、攻撃者は物理的またはデジタル的ななりすましを実行するために、対応する顔画像を復元する必要がある。

   • 攻撃者は、回転されたネットを用いて、追加のAPIクエリによる**スコア・オラクル（score oracle）**を構築する。
   • このオラクルは、既存のスコアベースの再構成攻撃（具体的には、Kimら[53]の手法と、後処理のための自然進化戦略（NES）を組み合わせたもの）に投入され、ネットの中心に対応する顔画像を再構成する。

主な貢献

• MasterFace攻撃の復活： 本論文は、攻撃者がターゲットシステムと同じ商用APIバックエンドを正当に購入し、クエリを投げることができる場合、MasterFace攻撃が有効であることを示している。
• MCPとしての定式化： 著者らは、バイオメトリック分布に対する被覆を最大化するテンプレートの集合としてMasterFaceを定式化し、その探索を貪欲アルゴリズム（greedy algorithm）で解ける最大被覆問題へと還元した。
• 等長不変な攻撃ベクトル： グラム分解を用いたテクニックを導入し、未知の回転を除いてAPIスコアから幾何学的特徴を抽出する手法を提示した。これにより、特定のテンプレート抽出器や登録済みアイデンティティを知ることなく、APIに特化したネットを構築できる。
• 現実的な脅威モデル： この攻撃は、内部システム知識なし、登録済みアイデンティティへのアクセスなし、および限定された決定ベースの認証試行という、厳格に現実的な制約条件下で作動する。

実験結果
著者らは、様々なオープンソースのFRS（ArcFace、ElasticFace、AdaFace）および商用のAWS CompareFaces APIに対してこの攻撃を評価した。

• なりすまし率（IR）： 認証試行予算（$Q$）が5、10、30であり、FMRレベルが$10^{-3}$、$10^{-4}$、$10^{-5}$の場合において、提案された攻撃は一貫してゼロ努力のインポスター・ベースラインを上回った。
• 改善倍率：
  • オープンソースのFRSに対して、この攻撃はベースラインに対し2.03倍から9.50倍の改善を達成した。
  • AWS CompareFaces APIに対しては、1.75倍から6.57倍の改善が見られた。
• コスト： 攻撃には、ネットを構築するための一度限りのAPIコスト（AWSの実験では約100ドルと推定）が必要である。その後の認証試行には、追加のAPIクエリを必要としない。
• デモグラフィック（人口統計学的）な被覆範囲： 可視化の結果、再構成されたMasterFaceは（再構成サブルーチンで使用される学習データのバイアスにより）白人男性の外見となることが多いものの、多様なデモグラフィック・グループのターゲット顔を効果的にカバーしていることが示された。これは、本攻撃がピクセル空間の外見ではなく、テンプレート空間の分布を標的にしていることを裏付けている。

意義と主張
本論文は、現代のFRSセキュリティにおいて、ゼロ努力のインポスターだけが実行可能なベースラインではないことを証明していると主張している。公開情報としての商用API利用を正当に活用することで、攻撃者は標準的なFMRを大幅に超えてなりすまし率を増幅させる「API特化型」のMasterFaceを構築できる。

著者らは、この脆弱性が、バイオメトリック分布の非一様性と、現実世界のデプロイメントにおける商用API利用の透明性の組み合わせから生じていると強調している。彼らは、システムレベルの情報開示（例：どのサードパーティAPIが使用されているかの開示）が、MasterFace攻撃を無効化していた従来のセキュリティ上の仮定を回避することを可能にすると論じている。本研究は、FMRのみに依存する現在のセキュリティ評価が、公開商用サービスへのアクセスを持つ攻撃者がもたらすリスクを過小評価している可能性があることを示唆している。

結論として、本論文は、この攻撃がデジタルな文脈では有効であるが、物理的な実現（例：顔の印刷）には、ここでは扱っていない別の課題（スプーフィング）が伴うことを述べている。また、グラム分解のテクニックは、メンバーシップ推論やモデル抽出といった他の情報抽出攻撃のツールにもなり得ると示唆している。