2D 顔認識は、物理的な敵対的攻撃に対して安全ではないことが証明されています。ただし、実際の 3D 顔認識システムを攻撃する可能性を調査した研究はほとんどありません。最近提案された 3D プリント攻撃は、空中に敵対ポイントを生成することはできません。この論文では、精巧な光学ノイズを介して 3D 顔認識システムを攻撃します。構造化された軽量 3D スキャナーを攻撃対象にしました。エンドツーエンドの攻撃アルゴリズムは、固有または追加のプロジェクターを介して 3D 顔の敵対的照明を生成し、任意の位置に敵対的ポイントを生成するように設計されています。それにもかかわらず、皮膚は半透明であるため、顔の反射は複雑な手順です。この投影とキャプチャの手順を最適化ループに含めるために、ランバート レンダリング モデルでモデル化し、SfSNet を使用してアルベドを推定します。さらに、摂動を目立たなくしながら、距離や角度の変化に対する耐性を向上させるために、3D 変換不変損失と 2 種類の感度マップが導入されています。実験は、シミュレートされた世界と物理的な世界の両方で行われます。以前の最先端の物理世界の 3D 敵対的攻撃よりも少ない摂動で、点群ベースおよび深度画像ベースの 3D 顔認識アルゴリズムを攻撃することに成功しました。
2D face recognition has been proven insecure for physical adversarial attacks. However, few studies have investigated the possibility of attacking real-world 3D face recognition systems. 3D-printed attacks recently proposed cannot generate adversarial points in the air. In this paper, we attack 3D face recognition systems through elaborate optical noises. We took structured light 3D scanners as our attack target. End-to-end attack algorithms are designed to generate adversarial illumination for 3D faces through the inherent or an additional projector to produce adversarial points at arbitrary positions. Nevertheless, face reflectance is a complex procedure because the skin is translucent. To involve this projection-and-capture procedure in optimization loops, we model it by Lambertian rendering model and use SfSNet to estimate the albedo. Moreover, to improve the resistance to distance and angle changes while maintaining the perturbation unnoticeable, a 3D transform invariant loss and two kinds of sensitivity maps are introduced. Experiments are conducted in both simulated and physical worlds. We successfully attacked point-cloud-based and depth-image-based 3D face recognition algorithms while needing fewer perturbations than previous state-of-the-art physical-world 3D adversarial attacks.