arXiv reaDer
敵対的統計的一貫性による DeepFake 検出器の回避
Evading DeepFake Detectors via Adversarial Statistical Consistency
近年、DeepFake と呼ばれるさまざまなリアルな顔偽造技術が飛躍的に進歩するにつれて、DeepFake 検出技術がますます提案されています。これらの方法は通常、空間ドメインと周波数ドメインの両方で、自然な (つまり、本物の) 画像と DeepFake で生成された画像の間の統計的差異を検出することに依存しています。この作業では、最先端の DeepFake 検出器を回避するために、統計的な差異を明示的に最小化することを提案します。この目的のために、2 つの主要部分を含む、DeepFake 検出器に対する統計的一貫性攻撃 (StatAttack) を提案します。まず、いくつかの統計的に敏感な自然な劣化 (つまり、露出、ぼかし、ノイズ) を選択し、それらを敵対的な方法で偽の画像に追加します。次に、自然画像と DeepFake 画像の統計的差異は、2 種類の画像間の分布シフトと正の相関があることを発見し、分布を考慮した損失を使用して、さまざまな劣化の最適化を導くことを提案します。その結果、生成された敵対的な例の特徴分布は自然なイメージに近くなります。さらに、StatAttack をより強力なバージョンである MStatAttack に拡張します。このバージョンでは、単層の劣化を多層の劣化に順次拡張し、損失を使用します。結合重みを一緒に調整します。 4 つのデータセットを使用した 4 つの空間ベースの検出器と 2 つの周波数ベースの検出器に関する包括的な実験結果は、ホワイト ボックスとブラック ボックスの両方の設定で提案された攻撃方法の有効性を示しています。
In recent years, as various realistic face forgery techniques known as DeepFake improves by leaps and bounds,more and more DeepFake detection techniques have been proposed. These methods typically rely on detecting statistical differences between natural (i.e., real) and DeepFakegenerated images in both spatial and frequency domains. In this work, we propose to explicitly minimize the statistical differences to evade state-of-the-art DeepFake detectors. To this end, we propose a statistical consistency attack (StatAttack) against DeepFake detectors, which contains two main parts. First, we select several statistical-sensitive natural degradations (i.e., exposure, blur, and noise) and add them to the fake images in an adversarial way. Second, we find that the statistical differences between natural and DeepFake images are positively associated with the distribution shifting between the two kinds of images, and we propose to use a distribution-aware loss to guide the optimization of different degradations. As a result, the feature distributions of generated adversarial examples is close to the natural images.Furthermore, we extend the StatAttack to a more powerful version, MStatAttack, where we extend the single-layer degradation to multi-layer degradations sequentially and use the loss to tune the combination weights jointly. Comprehensive experimental results on four spatial-based detectors and two frequency-based detectors with four datasets demonstrate the effectiveness of our proposed attack method in both white-box and black-box settings.
updated: Sun Apr 23 2023 14:40:42 GMT+0000 (UTC)
published: Sun Apr 23 2023 14:40:42 GMT+0000 (UTC)
参考文献 (このサイトで利用可能なもの) / References (only if available on this site)
被参照文献 (このサイトで利用可能なものを新しい順に) / Citations (only if available on this site, in order of most recent)
Amazon.co.jpアソシエイト