攻擊者拿到一張你的照片，據(jù)此制作一副特殊“眼鏡”，就可以刷臉解鎖你的手機？
這是真的。
最近，依托清華大學(xué)人工智能研究院成立的團(tuán)隊瑞萊智慧RealAI披露了新的研究成果：研究人員通過對抗樣本攻擊，破解了19款安卓手機的人臉識別解鎖系統(tǒng)。
同樣被破解的，還包括十余款金融和政務(wù)服務(wù)類App。
照片加上特殊“花紋”即可騙過人臉識別
在介紹RealAI的新研究之前，我們先簡單解釋一下何為“對抗樣本”。
訓(xùn)練算法模型需要輸入數(shù)據(jù)。而對抗樣本，簡單而言，就是一種由攻擊者設(shè)計的錯誤輸入數(shù)據(jù)。只要在原有數(shù)據(jù)上添加干擾因素，就能導(dǎo)致算法模型輸出完全不同的結(jié)果。
人的肉眼可能完全看不出對抗樣本的變化。所以，你也可以把干擾因素理解為一種特殊的“花紋”。
對抗樣本最有名的例子之一，出自前谷歌大腦研究人員、有著“生成對抗網(wǎng)絡(luò)（GAN）之父”稱號的科學(xué)家伊恩·古德費洛（Ian Goodfellow）——在他的研究中，算法將一張大熊貓圖片的對抗樣本識別成了長臂猿。
研究人員在大熊貓圖片上添加干擾后，算法將其識別成了長臂猿。
瑞萊智慧RealAI高級產(chǎn)品經(jīng)理張旭東介紹，他們此次采用的破解方式，也是對抗樣本攻擊。
不過，不同于學(xué)術(shù)界研究較多的虛擬世界攻擊，這一攻擊發(fā)生在真實世界。研究人員不需要用到劫持?jǐn)z像頭等手段，便可以直接破解人臉識別系統(tǒng)。
在制作對抗樣本時，研究人員需要同時用到“攻擊者”和“受害者”的照片，將“攻擊者”照片設(shè)定為基準(zhǔn)、“受害者”照片設(shè)定為攻擊目標(biāo)。
攻擊算法在接收到兩人的照片后，會自動生成干擾后的圖案，就像一塊人臉“補丁”。隨后，攻擊者用A4紙打印出這塊“補丁”，再貼到一副鏡框上戴好，就會“化身”為受害者，讓算法識別錯誤。
據(jù)了解，人臉識別算法，是依據(jù)相似度來分辨不同的人。兩張圖片的相似度高于閾值，就會被算法判定為同一人。攻擊者通過戴上“補丁”眼鏡讓兩個人的相似度大幅提高，從而實現(xiàn)破解。
據(jù)介紹，研究人員選取了20款手機進(jìn)行測試，除了蘋果以外，還涉及到國內(nèi)五大主流手機品牌的不同價位機型。
經(jīng)過測試，除了一臺iPhone11，其余安卓機型全部被成功解鎖。攻擊者進(jìn)入手機系統(tǒng)后，可以任意翻閱機主的微信、短信、照片等私密信息。
在測試現(xiàn)場看到，攻擊者破解手機的過程相當(dāng)迅速，基本上幾秒內(nèi)就可以順利解鎖。
研究人員說，整體而言，低端機的安全性要差一些，但高端機同樣能夠被破解。他們測試了一款2020年12月發(fā)布的國產(chǎn)品牌旗艦機，也是“一下子就打開了”。
不僅僅是手機，部分App的人臉識別也存在類似的安全漏洞。
在掌握了受害者的姓名、身份證號、手機號等個人信息后，研究人員甚至可以在十余款銀行及政務(wù)類App上通過人臉識別驗證，冒用受害者身份完成銀行開戶，或者查看受害者的社保、公積金等詳細(xì)信息。
值得注意的是，App實名認(rèn)證的安全要求比手機解鎖更加嚴(yán)格，一般會要求用戶進(jìn)行一些交互操作，比如眨眨眼、點點頭。但在測試中，研究人員把對抗樣本的眼睛部分挖掉，再做出眨眼、點頭等動作，依然可以通過驗證。
這意味著，即便是那些搭載了交互式活體檢測功能的商用人臉識別算法，依然能被對抗樣本破解。
目前業(yè)界主流的人臉識別算法都具備了活體檢測能力，所以之前常見的用一張照片、一段視頻來完成刷臉的做法已經(jīng)行不通。但對抗樣本攻擊針對的是算法模型底層的漏洞，完全不受活體檢測限制。攻擊者在臉上添加了局部擾動，導(dǎo)致算法產(chǎn)生了錯誤識別。
“對于人臉識別應(yīng)用來說，這是一個此前從未有過的攻擊面，需要采取針對性的措施加固?！毖芯咳藛T說。
破解的技術(shù)門檻較高 但仍有現(xiàn)實威脅
不同的手機廠商和App，使用的人臉識別算法難道沒有差異？為什么同一副眼鏡能解鎖不同的手機和App？
張旭東告訴記者，一個對抗樣本不可能攻破所有的產(chǎn)品，但“在一定范圍內(nèi)是通用的”?！艾F(xiàn)在市場上在商用的主流人臉識別模型其實只有幾種。模型之間有可遷移性，也就是有相通的地方，所以我們可以利用這一原理去進(jìn)行攻擊，攻破這19款手機也只用到了兩幅眼鏡?！?/span>
需要說明的是，對抗樣本的制作，依賴于一個核心的算法模型。
張旭東介紹，雖然在此次的研究中，模型僅用5分鐘左右就可以輸出質(zhì)量較高的對抗樣本，但他們所使用的模型也經(jīng)歷了多次迭代的過程。
要開發(fā)出這樣的模型并不容易，技術(shù)門檻較高。但張旭東說，如果有黑客惡意開源相關(guān)模型，制作對抗樣本的難度就會大大降低，沒有技術(shù)背景的人也可以上手。
在人工智能領(lǐng)域，類似的案例并不少見，AI換臉便是典型。在Deepfake問世之后，各種各樣的開源換臉模型和軟件也相繼出現(xiàn)。裁判文書網(wǎng)案例顯示，一些犯罪團(tuán)伙便是使用開源軟件完成了換臉?biāo)夭牡闹谱?，進(jìn)而攻破一些金融支付類App。
還有外國開發(fā)者推出過一款A(yù)I軟件，可以把正常照片轉(zhuǎn)換為“裸照”。因為爭議太大，開發(fā)者很快下架了軟件。但直到很久之后，這款軟件還在各種網(wǎng)絡(luò)灰色渠道流傳，甚至被人高價出售。
研究人員建議：
不要隨便在網(wǎng)上發(fā)照片
令人不安的是，RealAI團(tuán)隊所使用的人工智能模型，對于受害者的照片沒有太高要求?！按蠹移匠Ｔ谏缃痪W(wǎng)站上傳的照片，只要能看清臉，其實就可以用來做攻擊?！睆埿駯|說。
因此，他建議大家不要隨便在網(wǎng)上發(fā)含有清晰人臉的照片，同時要保護(hù)好自己的手機號、身份證號等個人信息。
以銀行類App為例，雖然現(xiàn)在的支付轉(zhuǎn)賬操作都需要多因素驗證，但一旦用戶的個人信息全部泄露，不法分子就可能同時完成刷臉、輸入手機驗證碼等操作，使得多因素驗證失效。
信息安全攻防，是一個“魔高一尺，道高一丈”的過程。在張旭東看來，就像照片攻擊推動了活體檢測的誕生，未來，也需要有專門的產(chǎn)品和技術(shù)來應(yīng)對對抗樣本攻擊。
目前，研究團(tuán)隊已經(jīng)與測試中涉及的廠商取得聯(lián)系，協(xié)同推進(jìn)漏洞的修復(fù)。
“所有的攻擊研究，最終的目標(biāo)還都是為了找出漏洞，然后再去針對性地打補丁、做防御?！睆埿駯|說，“我們攻克的人臉識別，其實只是廠商業(yè)務(wù)環(huán)節(jié)之中的一環(huán)。他們面臨的安全風(fēng)險到底處于什么程度？要怎樣解決問題？不同的場景下，業(yè)務(wù)方所面臨的安全風(fēng)險和加固需求都是不一樣的，需要大家一起去探索?！?/span>
責(zé)任編輯:李斌
返回首頁
QQ客服
聯(lián)系我們
