💻 computer science

Double Down on Defense: Strengthening Deep Perceptual Hashes against Evasion Attacks without Retraining

本文介绍了 DualShield，这是一种插件式防御机制，它通过结合匹配时的随机平滑和发布时的加固，在无需重新训练模型的情况下，增强了现有深度感知哈希针对规避攻击的鲁棒性，并实现了认证鲁棒性。

原作者： Bangjie Sun, Nayoung Kim, Mun Choon Chan, Jun Han

发布于 2026-08-05

📖 1 分钟阅读☕ 轻松阅读

原作者： Bangjie Sun, Nayoung Kim, Mun Choon Chan, Jun Han

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，互联网就像一座巨大且繁忙的图书馆，数以亿计的书籍（图像）在其中不断地被添加、移除和复制。为了保持这座图书馆的安全与有序，管理员需要一种快速识别是否已有重复标记为危险或受版权保护内容的方法。他们不会阅读每一个字，而是使用一种特殊的“指纹”扫描仪。这个扫描仪将一张图片转化为一段简短且唯一的代码。如果两张图片看起来几乎一样，它们的代码也会非常相似。这被称为感知哈希（perceptual hashing）。它是阻止人们重新上传违禁内容或窃取艺术品的隐形看门狗。

但问题的关键在于，就像现实中的狗会被聪明的伪装所欺骗一样，这些数字指纹也可以被愚弄。一个恶意行为者可以对图片进行微小的、肉眼几乎不可见的修改——这些变化对人类视觉来说微乎其微，但足以扰乱指纹代码。突然间，一张被禁的图像在扫描仪眼中变成了一张全新的、无辜的图像。这被称为规避攻击（evasion attack）。研究人员一直在思考的一个大问题是：我们能否在不从头重建整个扫描仪的情况下，让这些指纹扫描仪变得更加强韧？这有点像是在问，我们能否在不更换旧看门狗的大脑的情况下，教会它新的把戏。

本文介绍了一种被称为 DualShield 的巧妙解决方案，它为现有的图像扫描仪提供了一个双层力场。作者在与主要技术中心系统的协作中发现，你不需要重新训练用于生成指纹的复杂人工智能模型就能使其更安全。相反，他们添加了两个协同工作的“护盾”。

第一个护盾是发布时加固（Publication-Time Hardening）。想象一下，一位图书管理员在将参考书放到书架上之前，并不只是原样放置，而是在封面涂上了一层隐形的“盔甲”。这种盔甲是一种极其细微的数学微调，如此微妙以至于人类读者看到的书看起来完全一样，但它使得这本书的指纹极难被扰乱。当恶意行为者试图通过复制并修改这本“装甲化”的书来欺骗扫描仪时，他们面对的是一个更加艰难的起点。论文表明，仅靠这一步就能增加攻击者成功的难度，但这并不是一道完美的墙。

第二个护盾是匹配时的随机平滑（Matching-Time Randomized Smoothing）。这发生在有人尝试上传可疑图像时。系统不再仅仅是将上传的图像与参考图像进行一次对比（这就像是只让看门狗闻一次空气就做决定），而是采取了更聪明的做法。它会创建数百个略微带有“噪声”或模糊效果的版本，涵盖原始参考图像和上传的图像。系统会让看门狗去闻所有这些模糊的版本，然后进行投票。如果狗狗在 90% 的情况下都说“匹配”，系统就会接受它。如果恶意行为者试图利用微小的技巧来改变结果，那么其他 99 次比较中的噪声通常会抵消掉这种干扰。这就像试图通过向人群低声诉说谎言来欺骗他们：如果你只对一个人说一次，也许他会相信；但如果你要同时对一百个人说，真相终会胜出。

研究人员使用八种不同类型的指纹扫描器和三组不同的图像测试了这个“DualShield”系统。结果令人震惊。在没有这种防御机制的情况下，黑客使用白盒攻击（即完全了解扫描器工作原理的攻击）成功欺骗扫描器的概率高达 98.6%。有了 DualShield，这一成功率骤降至仅 11.8%。更令人印象深刻的是，在黑盒攻击（即黑客完全不知道扫描器如何运作）中，成功率从 20.6% 降到了微不足道的 1.3%。

该论文还提供了一个数学保证，即“证书”，证明只要攻击者的改动保持在某个特定的隐形圆圈内（在其数学单位中半径约为 0.3），他们就绝对无法欺骗系统。这非常重要，因为它从“我们在测试中有效”提升到了“我们可以证明其有效”。

然而，作者也谨慎地指出，这并非包治百病的灵丹妙药。虽然系统变得更难被欺骗，但也导致对于某些特定类型的扫描器，它对裁剪或旋转图像等正常变化的敏感度略有下降。这是一个权衡：你得到了抵御黑客的堡垒，但也必须更加小心地处理图像。此外，该系统并不会修复扫描器本身的底层缺陷；如果一个扫描器本身就不擅长识别重复项，DualShield 不会把它变成天才，它只是让它变得更难被欺骗。

最后，DualShield 表明，我们可以在不经历昂贵且耗时的重建过程的情况下，让我们的数字守护者变得更加强韧。通过在图像上线前添加一层“盔甲”，以及在图像返回时添加一层“众包投票”，我们可以保护我们的在线图书馆免受数字时代诡计的侵害。这提醒我们，有时最好的防御不是一把更大的剑，而是一个更聪明的盾。

技术摘要：DualShield —— 加强深度感知哈希对抗规避攻击的能力

问题陈述
近重复图像匹配对于内容审核、溯源验证和版权执行至关重要。现代系统依赖深度感知哈希将视觉相似的图像映射为紧凑且可比较的表示。然而，这些系统容易受到**规避攻击（evasion attacks）**的影响，即攻击者对已知图像应用肉眼难以察觉的扰动，从而足以改变其哈希表示，使其刚好跨越匹配阈值，导致近重复图像被误分类为非匹配项。

现有的防御方法面临着权衡：

经验鲁棒性（Empirical Robustness）： 虽然某些方法可以抵御特定的已知攻击，但它们无法针对更强或未知的对抗策略提供保证。
认证鲁棒性（Certified Robustness）： 最近的方法（如 CertPHash）提供了针对有界扰动的形式化保证，但需要从头开始训练专门的鲁棒哈希模型。这使得它们难以部署在现有的、已在生产环境中使用的预训练哈希系统中。

本文解决的核心研究问题是：我们能否在不重新训练或修改底层模型的情况下，提高现有深度感知哈希的经验鲁棒性和认证鲁棒性？

方法论：DualShield
作者提出了 DualShield，这是一种插件式防御机制，它在不改变哈希模型 $f$ 本身的情况下，在图像生命周期的两个不同阶段运行。它结合了两种互补的机制：

发布时加固（Publication-Time Hardening）：
- 目标： 在参考图像发布并存储到数据库之前，对其进行主动优化。
- 机制： 向原始参考图像 $r$ 添加一个优化的、不可察觉的扰动 $\delta_h$ ，以创建加固后的参考图像 $r^*$ 。
- 优化： 计算该扰动旨在最大化正样本对（参考图像及其良性变体）的“平滑匹配间隔”，同时保持与负样本对（无关图像）的分离。这使参考图像远离哈希空间中的局部脆弱区域，从而增加攻击者将修改后的查询图像推向决策边界的难度。
- 约束： 该修改被限制为不可察觉（例如，受限的 $\ell_\infty$ 范数），并且仅针对每个参考图像执行一次。
匹配时随机平滑（Matching-Time Randomized Smoothing）：
- 目标： 针对查询图像上的微小对抗性扰动，稳定匹配/非匹配的决策。
- 机制： 当提交查询图像 $q$ 时，系统不再依赖单一的确定性哈希比较。相反，它分别为加固后的参考图像 $r^*$ 和查询图像 $q$ 独立采样高斯噪声 $\eta_r, \eta_q$ 。
- 聚合： 底层哈希匹配器 $M_f$ 在这些受扰动的对上进行多次评估。最终决策通过 $N$ 次采样后的多数投票（或最可能的类别）来确定。
- 认证： 这一过程将匹配决策转化为统计鲁棒的决策。如果多数类概率 $p_A$ 超过 0.5，则可以计算出一个形式化的 $\ell_2$ 认证半径 $R_2 = \sigma \Phi^{-1}(p_A)$ 。这保证了在给定半径内的任何加性扰动都不会改变匹配决策。

核心贡献

插件式防御： DualShield 在无需重新训练或修改底层哈希架构的情况下，增强了现有的深度感知哈希。
双机制设计： 它独特地结合了发布时加固（优化参考图像）与匹配时随机平滑（稳定决策），解决了互补的脆弱性来源。
形式化保证： 它为多种现有的哈希模型（包括那些原生不支持认证的模型）提供了认证的 $\ell_2$ 鲁棒性。
全面评估： 该方法在八种不同的深度感知哈希模型（包括 NeuralHash、DINOHash、HybridHash 和 CertPHash 变体）以及三个数据集（ImageNet、MS-COCO、Stable-Diffusion）上进行了评估。

实验结果
评估表明，经验鲁棒性和认证鲁棒性均得到了显著提升：

对抗鲁棒性（白盒）： 现有哈希在自适应白盒攻击下的平均攻击成功率（ASR）为 98.6%。DualShield 将其降低至 11.8%。对于特定模型如 HybridHash 和 CertPHash 变体，ASR 降至接近于零（0–1%）。
对抗鲁棒性（黑盒）： 平均黑盒 ASR 从 20.6% 下降到 1.3%。在测试的预算范围内，八种哈希中有六种实现了零观察到的黑盒 ASR。
认证鲁棒性： DualShield 在所有评估的哈希模型中建立了约 0.3 的认证 $\ell_2$ 半径。这比仅使用平滑技术的基准（约 0.25）有了显著改进，并在此前不存在保证的模型中提供了形式化保证。
变换鲁棒性： 对于大多数哈希模型，DualShield 在面对常见变换（压缩、裁剪、旋转）时保持了较低的规避率。然而，在某些模型（如 SSCD）中观察到了权衡：增加对抗鲁棒性导致了在几何变换下的规避率上升（例如，裁剪/旋转规避率从 0.5% 上升到 23.6%）。
效用与保真度：
- 碰撞率： DualShield 通常保持了原始的碰撞率，大多数哈希在无关图像上的碰撞率仍保持在 0% 或接近于零。
- 视觉质量： 加固后的图像在视觉上与原图保持相似。C-PDQ 和 C-PDNA 等模型显示出较高的结构相似性（SSIM > 0.9），而其他模型（如 DINOHash）则需要略微明显的纹理变化来实现相同的鲁棒性。

意义与主张
论文声称，DualShield 证明了增强深度感知哈希的鲁棒性并不一定需要重新设计或重新训练核心哈希模型。相反，可以通过一个插件层来增加鲁棒性，通过共同保护发布的参考图像并加强匹配决策来增强已部署的系统。

作者强调，虽然经验鲁棒性（对特定攻击的抵抗力）得到了提升，但其主要贡献在于能够为现有系统提供形式化的、认证的最坏情况保证。这使得现实世界的平台能够在无需承担重新训练复杂深度学习模型的高昂成本的情况下，采用认证鲁棒性。这项工作提出了一种更广泛的设计原则，即将鲁棒性视为视觉匹配系统的附加组件，使认证和对抗鲁棒的匹配变得更加易于部署。

技术摘要：DualShield —— 加强深度感知哈希对抗规避攻击的能力

类似论文