江苏龙网

  1. 首页 > 资讯 > 资讯 > >

故事传记|人工智能骗人工智能：黑客如何“弄瞎”人脸识别算法？( 二 )


文章图片
《亲爱的数据》出品
这位毕业于清华大学计算机系的硕士 ， 夏天酷爱穿一件简单的T恤 。 他总是声调冷静 ， 节奏缓慢 ， 像一潭沉静的湖水 。
而他的高中时代活出了一个新闻标题——《别人在高考 ， 保送清华学霸现身考场 ， 为同学加油助威》 。 脑补萧子豪在电视台采访人员的话筒前 ， 淡然一笑 ， 表示：“考试没有什么压力 ， 因为我已经保送清华大学物理系了 。 ”
技术的魔力 ， 需以一个实验来说明 ， 才能眼见为实 。
视频中 ， 不明身份男子（该角色由萧子豪本尊扮演）戴上一副说不清是爱马仕 ， 还是香奈儿的时尚眼镜 ， 花纹浮夸 ， 色调刻意失真 ， 一股艺术气息扑面而来 。 感觉是走秀Party ， 而不是黑客攻击的案发现场 。
故事传记|人工智能骗人工智能：黑客如何“弄瞎”人脸识别算法？
文章图片
《亲爱的数据》出品
人脸识别可以简单地理解为把密码写在脸上 ， 刷脸就是刷卡 。 破解了人脸识别功能 ， 就是破解了身份认证的唯一性 。 黑客佩戴眼镜之后 ， 会被人脸识别算法误认为手机主人 ， 解锁手机 。
为什么只戴一副打印的纸眼镜 ， 就可以“弄瞎”手机的人脸识别算法？先讲解步骤 ， 再给出前沿学术论文的解释 。
第一步 ， 准备三个材料：攻击者的一张照片 ， 受攻击者的多张照片 ， 和一个深度学习人脸识别算法模型（开源的模型也可以） 。 讲到这里就顺口一提 ， 很多人不在乎隐私保护 ， 社交网站、朋友圈里有大量眉清目秀、五官清晰的照片 ， 这都可能被黑客恶意保存 。
“极端情况下 ， 只用受攻击者的一张照片也可以 ， 只是成功率会低一些 。 ”这一句 ， 萧子豪加重了语气 。
第二步 ， 将三个材料输入攻击算法 ， 生成攻击人脸识别算法 。 这里的攻击算法就是知识产权的核心 。 算法会利用人脸识别算法模型 ， 从受攻击者的照片中提取他/她的人脸信息 ， 然后在攻击者的照片上构造出攻击用的对抗图案 。 一般情况下 ， 研究人员称攻击算法生成的图案为对抗图案 。 对抗图案叠加在原来的图片上 ， 得到带有攻击功能的图片 ， 叫对抗样本 。 （对抗图案+原有图片=对抗样本 ， 对抗样本指的是整张图 ， 对抗图案既可以是局部的 ， 也可以是全局的 。 ）
黑客的眼镜是算法生成的局部图案 。
第三步 ， 用攻击算法生成的这张图 ， 打印制作成眼镜 。 表面上 ， 是一副普通的眼镜 。 背地里 ， 眼镜上的局部图案是对抗样本 。 戴上眼镜的人 ， 面对手机 。 随后 ， 发生不可思议的一幕——佩戴了这副眼镜 ， 瞬间成功解锁手机 。
有兴趣的群众 ， 可以研究一下视频中手机的品牌 ， 苹果、华为 ， 还是小米 。
而本文关注这个实验中的三个知识点：黑盒、纸眼镜、迁移性 。
这是一个典型的黑盒攻击的黑客实验 。
萧子豪解释道 ， 进行攻击的算法和遭受攻击的算法 ， 就像战争中的敌我两方 。 这两种算法可能不是同一个模型 ， 背后原理是抓住了人脸模型之间的相似性（虽然人脸识别模型各有千秋 ， 但是都属于深度学习模型 ， 免不了会有相似性） 。 攻击算法寻找、挖掘、抓住不同人脸识别模型之间的相似性 ， 同时放大 ， 这样就有攻击的机会 。 换句话说 ， 只要攻击者能够从人脸识别模型里面挖掘出漏洞（相似性） ， 就能够攻击模型 。
研发攻击算法的过程中 ， 挖掘相似性是一件很耗神、很熬人的事 。
我们都知道 ， 手机里的人脸识别算法需要将摄像头采集到的人脸信息作为输入的信息 。 手机上装载的人脸识别算法对黑客来说就是黑盒 。 因为在攻击之前 ， 完全不知道其中的原理 ， 所以称之为黑盒攻击 。
纸眼镜有什么讲究呢？
眼镜是一个物理世界的真实物件 ， 黑客戴上眼镜 ， 就是为了改变人脸面部的特征 。 在做眼镜的时候 ， 黑客还要考虑很多来自外部环境的干扰 。 室内的光照 ， 打印机的色差 ， 都会影响攻击效果 。 所以 ， 需要有一些色彩矫正算法 ， 或者一些光线补偿的算法 ， 保证最后打印出来的眼镜在实际场景中能够攻破手机的人脸识别算法 。
故事传记|人工智能骗人工智能：黑客如何“弄瞎”人脸识别算法？
文章图片
《亲爱的数据》出品
手机厂商使用的人脸模型和攻击它的模型 ， 这个两个模型并不相同 ， 为什么就攻击成功了呢？
答案是迁移性 。
萧子豪说：“借用迁移学习的思路 ， 有利于增加对迁移性的理解 。 ”不过这样的解释还不够有诚意 。 他又补充道：“好比每个人都有常识 ， 神经网络也有自己的常识 。 人和人想法会差很远 ， 神经网络也是一样 。 不同神经网络之间用不同的语言 。 但是 ， 可以用常识沟通彼此都认可的事情 。 ”
“神经网络也有自己的常识”是萧子豪打的一个比方 ， 他也愿意用“心理学或者生物学原理”来替代 。
就是说 ， 虽然人和人的想法/体质会差很远 ， 但他们都会有相似的心理或者生理弱点 。
前沿论文告诉我们 ， “对抗样本的一个有趣特性就是具有良好的可迁移性 ， 这使得实际应用的黑盒攻击变得可行 。 ”


推荐阅读


上一篇：湖北利川:检察建议关注群众＂脚下安全＂

下一篇：福建南靖:开展联合执法检查筑牢企业安全生产防线