DiffMI: Breaking Face Recognition Privacy via Diffusion-Driven Training-Free Model Inversion

1. Declaração do Problema

Os sistemas de reconhecimento facial baseiam-se em representações baseadas em incorporações (vetores de características) em vez de imagens brutas para proteger a privacidade do usuário. No entanto, os Ataques de Inversão de Modelo (MIA) representam uma ameaça crítica ao tentar reconstruir imagens faciais a partir dessas incorporações, podendo levar ao roubo de identidade, falsificação e vigilância.

Os métodos MIA existentes enfrentam três limitações principais:

• Dependência de Treinamento: A maioria dos ataques de alta fidelidade exige o treinamento de um gerador específico para o alvo (por exemplo, GANs ou DeconvNets) para cada modelo de reconhecimento facial e conjunto de identidades específicos. Isso incorre em custos computacionais massivos e carece de generalização para identidades ou modelos não vistos.
• Controle Limitado em Métodos Sem Treinamento: As abordagens existentes sem treinamento (majoritariamente baseadas em GAN) sofrem com controle limitado de identidade. Frequentemente produzem imagens de baixa resolução ou em tons de cinza e lutam para reconstruir identidades sutis sem sobreajuste.
• Sobreajuste Adversarial: Aplicar ingenuamente ataques adversariais a modelos de difusão causa artefatos visuais graves (halos, texturas em manchas) porque a otimização empurra os códigos latentes para fora da variedade de prioridade gaussiana, levando a falsos positivos onde o modelo reconhece o artefato em vez da identidade.

2. Metodologia: DiffMI

Os autores propõem o DiffMI, o primeiro ataque de inversão de modelo impulsionado por difusão e sem treinamento. Ele utiliza um Modelo Probabilístico de Difusão de Remoção de Ruído (DDPM) incondicional pré-treinado e fixo para reconstruir rostos a partir de incorporações, sem qualquer treinamento específico para o alvo.

O framework consiste em três etapas principais (ilustradas na Fig. 3 do artigo):

A. Inicialização Robusta de Código Latente (Etapa a)

Em vez de amostragem aleatória, o DiffMI pré-gera um conjunto de códigos latentes robustos para garantir pontos de partida de alta qualidade. Isso envolve um processo de filtragem em duas etapas:

1. Normalidade Estatística (Teste K2): Utiliza o teste K2 de D'Agostino para verificar se o código latente segue uma distribuição gaussiana ($p_K \geq \tau_K$). Isso garante que o código adira ao prior do modelo de difusão, reduzindo o risco de artefatos durante a remoção de ruído.
2. Plausibilidade Visual (MTCNN): Gera uma imagem a partir do código latente e usa o MTCNN para verificar a presença de um rosto detectável ($p_D \geq \tau_D$).

• Resultado: Um conjunto reutilizável de códigos latentes de alta qualidade aplicável a qualquer modelo alvo.

B. Seleção dos Top-N Códigos Latentes (Etapa b)

Em vez de selecionar um único código inicial "melhor", o DiffMI seleciona os Top-N candidatos do conjunto com base na similaridade de cosseno entre suas incorporações geradas e a incorporação alvo.

• Racional: O código com a maior similaridade inicial não garante o melhor resultado final após a otimização. Selecionar múltiplos candidatos ($N$) fornece pontos de partida diversos para a fase de refinamento.

C. Refinamento Adversarial Classificado (Etapa c)

Os $N$ códigos selecionados passam por uma otimização adversarial sequencial e de alta granularidade para maximizar a similaridade com a incorporação alvo.

• Estratégia Adversarial Classificada: Os códigos são otimizados em ordem de sua similaridade inicial. O processo para antecipadamente se qualquer código atingir um limite de confiança, melhorando a eficiência.
• Objetivo Consciente de Confiança: Uma inovação crítica é o uso de um limite de confiança fundamentado estatisticamente ($\tau_C$). A otimização termina assim que a pontuação de similaridade atinge $\tau_C$ (derivado da similaridade máxima de imagens reais da mesma identidade).
  • Benefício: Isso previne o sobreajuste. Maximizar cegamente a similaridade frequentemente leva a artefatos adversariais que enganam o modelo alvo, mas falham em generalizar. Parar em $\tau_C$ garante que a reconstrução reflita a verdadeira identidade em vez de fraquezas específicas do modelo.
• Ataque de Alta Granularidade: Utiliza APGD (caixa-branca) ou GreedyPixel (caixa-preta) para realizar atualizações localizadas e de controle de precisão no espaço latente, evitando atualizações grosseiras que causam artefatos de difusão.

3. Principais Contribuições

1. Primeiro Ataque Sem Treinamento Impulsionado por Difusão: O DiffMI é o primeiro método a aproveitar modelos de difusão incondicionais para inversão de modelo sem retreinar ou ajustar finamente o gerador.
2. Preservação de Identidade Principiada: Introduz um pipeline inovador que combina inicialização robusta de latentes, seleção classificada e um critério de parada consciente de confiança para equilibrar a fidelidade da identidade com a supressão de artefatos.
3. Generalização Superior: Diferentemente de métodos dependentes de treinamento que exigem retreinamento para novos modelos, o DiffMI aplica-se diretamente a modelos e identidades alvo não vistos.
4. Avaliação Abrangente: Valida o ataque em configurações de caixa-branca e caixa-preta, demonstrando eficácia contra modelos padrão e "resilientes à inversão".

4. Resultados Experimentais

Os autores avaliaram o DiffMI em dois conjuntos de dados (LFW e CelebA-HQ) e quatro modelos de reconhecimento facial (FaceNet, ArcFace, DCTDP, PartialFace).

• Desempenho vs. Baselines:
  • O DiffMI supera o melhor método anterior baseado em GAN sem treinamento (MAP2V) em 4,01% – 9,82% na precisão de correspondência de identidade.
  • Alcança taxas de sucesso de ataque de 84,42% – 92,87% mesmo contra modelos explicitamente projetados para ser resilientes à inversão (DCTDP e PartialFace).
  • Igual ou supera o desempenho de métodos dependentes de treinamento (que exigem dias de treinamento e milhões de consultas) enquanto leva apenas 98–256 segundos por imagem.
• Qualidade Visual: O DiffMI produz reconstruções no estilo de retrato completo (256x256) com alta fidelidade visual, enquanto os métodos DeconvNet dependentes de treinamento frequentemente produzem recortes de baixa resolução (64x64) ou borrados.
• Estudo com Usuários: Em um estudo com participantes humanos, 71,5% das reconstruções foram corretamente identificadas como a pessoa alvo e 80,5% foram corretamente emparelhadas em um cenário de múltipla escolha, confirmando o realismo perceptual dos ataques.
• Viés Demográfico: O ataque mostra uma queda mínima de desempenho (<1,3%) em subconjuntos de minorias raciais e faixas etárias mais avançadas, atribuída à diversidade do conjunto de latentes pré-gerado.

5. Significado e Implicações

• Vulnerabilidade de Privacidade: O estudo revela que sistemas de reconhecimento facial baseados em incorporações são fundamentalmente vulneráveis. Mesmo defesas "resilientes à inversão" falham contra ataques de difusão sem treinamento, sugerindo que a dependência do comportamento no tempo de inferência torna esses sistemas inerentemente difíceis de proteger.
• Mudança de Paradigma: Os resultados indicam que Modelos de Difusão são priores superiores para ataques de inversão em comparação com GANs, oferecendo melhor resolução, controle e preservação de identidade sem a sobrecarga computacional do treinamento.
• Desafios de Defesa: As descobertas sugerem que as medidas de privacidade atuais (armazenar incorporações em vez de imagens) são insuficientes. Futuras defesas devem focar em detecção robusta de inversão, estratégias de mitigação e arquiteturas que preservam a privacidade e podem resistir a priores generativos de alta fidelidade.

Em conclusão, o DiffMI demonstra que a reconstrução de identidade de alta fidelidade a partir de incorporações é viável, eficiente e generalizável, representando uma ameaça severa à privacidade dos sistemas biométricos atualmente implantados no mundo real.