Technische Samenvatting: AuraMask

Probleemstelling

Anti-gezichtsherkenning (AFR) beeldfilters hebben tot doel de privacy van gebruikers te beschermen door subtiele verstoringen in te brengen die voorkomen dat computervisiestelsels individuen identificeren, terwijl deze voor mensen onmerkbaar blijven. Echter, bestaande state-of-the-art verdedigingen (bijv. Fawkes, LowKey) kampen met lage adoptiepercentages. Onderzoek wijst uit dat zelfs wanneer deze verstoringen technisch "onmerkbaar" zijn volgens algoritmische maatstaven, ze vaak in conflict komen met de esthetische voorkeuren en doelstellingen van gebruikers inzake zelfpresentatie, wat leidt tot afwijzing. Bovendien suggereert eerdere literatuur dat de jacht op "onmerkbaarheid" de gebruikersacceptatie juist kan verminderen in vergelijking met opzettelijk merkbaar, esthetisch aantrekkelijke filters. De kernuitdaging ligt in het ontwerpen van AFR-verdedigingen die zowel adversariaal effectief zijn tegen gezichtsherkenningmodellen als esthetisch acceptabel voor gebruikers.

Methodologie

De auteurs stellen AuraMask voor, een uitbreidbare pijplijn die is ontworpen om AFR-filters te genereren die populaire filters voor sociale media nabootsen (bijv. Instagram-filters), terwijl ze gezichtsherkenningssystemen saboteren.

1. Bedreigingsmodel en Perspectief

De auteurs hanteren een Subversieve AI-perspectief, waarbij het gezichtsherkenningssysteem wordt geframed als de "aanvaller" en het individu als de "verdediger". Het doel is om gezichtverificatie te ontlopen, waarbij een aanvaler probeert een referentiebeeld (ongewijzigd) te matchen met een door een gebruiker gedeeld beeld (gewijzigd). De verdediging richt zich op het kenmerkextractie-stadium van de herkenningspijplijn, met als doel de generatie van gezichtseembeddings te verstoren.

2. Multi-Task Learning (MTL) Framework

AuraMask maakt gebruik van een Multi-Task Learning-benadering om twee verschillende doelen gelijktijdig te optimaliseren:

• Doel 1: Sabotage van Gezichtseembeddings. Het systeem streeft ernaar de afstand te maximaliseren tussen de embedding van het originele beeld ($x$) en het verstoorde beeld ($\hat{x}$). De auteurs introduceren een nieuwe verliesfunctie, Face Embedding Absolute Threshold ($L_{FEAT}$), die afstanden straft die voorbij het orthogonaliteitspunt liggen en de verificatiedrempel ($\tau_f$) integreert om overoptimalisatie te voorkomen.
• Doel 2: Integratie van Esthetiek. In plaats van het waarneembare verschil (onmerkbaarheid) te minimaliseren, minimaliseert het systeem het verschil tussen de gegenereerde output en een doel-esthetisch filter (bijv. "Moon", "Dogpatch"). Dit wordt bereikt met behulp van een geleerde perceptuele heuristiek ($L_{TopIQ}$) gecombineerd met een gesloten-vorm heuristiek (MSE of SSIM) om interferentie tussen de adversariale en esthetische doelen te voorkomen.

3. Technische Infrastructuur

• Architectuur: De pijplijn maakt gebruik van Adversarial Transformation Networks (ATN's), specifiek een aangepaste VNet-architectuur met recurrente convoluties. In tegenstelling tot iteratieve methoden (bijv. PGD, FGSM) die meerdere voorwaartse/achterwaartse passes vereisen, leren ATN's om adversariale verstoringen in één enkele voorwaartse pass te voorspellen, waardoor ze aanzienlijk sneller zijn bij inferentie.
• Trainingsdata: Modellen zijn getraind op de Flickr Diverse Faces (FDF) dataset (1,5 miljoen afbeeldingen) om diversiteit in houding, leeftijd en etniciteit te waarborgen.
• Filter Nabootsing: De auteurs gebruikten de pilgram2-bibliotheek om programmatisch 10 populaire Instagram-achtige filters toe te passen op trainingsafbeeldingen, waardoor doeloutputten werden gecreëerd voor het esthetische doel.
• Verdedigingsvarianten: De studie genereerde 80 proof-of-concept verdedigingen:
  • Single-Target (ST): Getraind tegen het ArcFace embedding-model.
  • Ensemble-Target (ET): Getraind tegen zowel ArcFace- als VGGFace2-modellen om de transferbaarheid naar "black-box"-systemen te verbeteren.

Belangrijkste Bijdragen

1. AuraMask Pijplijn: Een nieuw, uitbreidbaar toolkit voor het genereren van AFR-verdedigingen die expliciet rekening houden met output-esthetiek met behulp van MTL.
2. 80 Proof-of-Concept Verdedigingen: Een dataset van 80 filters (40 ST, 40 ET) die populaire filters voor sociale media nabootsen terwijl ze adversariale bescherming bieden.
3. Technische Validatie: Uitgebreide evaluatie die aantoont dat AuraMask-verdedigingen de adversariale effectiviteit van eerdere methoden (Fawkes, LowKey) in zowel white-box- als black-box-scenario's halen of overtreffen.
4. Gebruikersgerichte Bewijzen: Empirische data uit een gecontroleerde studie ($N=630$) die aantonen dat "esthetische" AFR-verdedigingen een aanzienlijk hogere gebruikersacceptatie en voorkeur behalen dan traditionele onmerkbare verdedigingen.

Resultaten

Technische Effectiviteit (RQ2)

• Face Verification Recall: Bij evaluaties met de Labeled Faces in the Wild (LFW)-benchmark verlaagden Ensemble-Target (ET)-verdedigingen de face verification recall significant voor alle geteste modellen (ArcFace, VGGFace2, FaceNet). De "Moon" ET-verdediging verlaagde de nauwkeurigheid met gemiddeld 93,9% over de modellen heen.
• Transferbaarheid: Waar Single-Target (ST)-verdedigingen uitzonderlijk goed presteerden tegen hun trainingsmodel (ArcFace) maar slecht tegen onbekende modellen, toonden ET-verdedigingen sterke transferbaarheid naar onbekende "black-box"-modellen.
• Vergelijking: ET-verdedigingen presteerden beter dan Fawkes en LowKey over alle geteste embeddings. Opmerkelijk is dat wanneer beide afbeeldingen in een verificatiepaar werden geobfuscateerd met dezelfde verdediging, de bescherming afnam; echter, het gebruik van een mix van verschillende verdedigingen behield hogere beschermingsniveaus.

Gebruikersacceptatie (RQ3)

• SAIA-8 Scores: In een studie met de Subversive AI Assessment (SAIA-8)-schaal kregen AuraMask-verdedigingen aanzienlijk hogere acceptabiliteitsscores dan Fawkes en LowKey.
• Voorkeur: Bij een taak voor selectie in een voorkeursraster was het "Moon"-filter (een zwart-wit esthetiek) de meest geprefereerde verdediging, met de hoogste "worth"-parameter.
• Paradox van Onmerkbaarheid: De studie vond een tegen-intuïtieve relatie: de "Moon"-verdediging was het meest waarneembaar verschillend van het originele beeld (laagste perceptuele gelijkenis), maar werd door gebruikers beoordeeld als de meest acceptabele. Omgekeerd was LowKey, dat de hoogste perceptuele gelijkenis met het origineel had, een van de minst acceptabele.

Betekenis en Beweringen

Het artikel betoogt dat het veld van adversariaal machine learning voor privacy te zeer gefocust is geweest op "onmerkbaarheid", een beperking die niet in lijn is met menselijke esthetische voorkeuren en doelstellingen voor zelfpresentatie. Door het paradigma te verschuiven naar "opzettelijk waarneembare" verdedigingen die populaire creatieve filters nabootsen, toont AuraMask aan dat:

1. Esthetiek en Beveiliging Compatibel zijn: Het is mogelijk om verdedigingen te ontwerpen die zowel zeer effectief zijn tegen gezichtsherkenning als wenselijk voor gebruikers.
2. Weerstand als "Wapen van de Zwakken": De auteurs framen deze tools niet als absolute garanties voor privacy, maar als weerstandstechnologieën die dekking bieden, tijd kopen, ontkenbaarheid mogelijk maken en protest uitdrukken tegen surveillance.
3. Versnelling van de Gemeenschap: Door de pijplijn en vooringestelde modellen open source te maken, beogen de auteurs onderzoek te versnellen naar een breder ecosysteem van creatieve, gebruikersacceptabele AFR-verdedigingen, en zo voorbij te gaan aan de huidige nauwe focus op onmerkbaar ruis.

De auteurs concluderen dat hoewel hun huidige ET-configuraties enkele structurele artefacten introduceren, het potentieel voor "one-time pad"-achtige obfuscatie met behulp van een groot scala aan unieke esthetische filters een veelbelovende toekomst biedt voor privacybescherming die gericht is op de gebruiker.