该论文研究人脸识别模型在"语义对抗编辑"下的脆弱性问题。背景是:人脸识别已被广泛嵌入日常身份认证与视频监控系统,而近期工作发现,对输入图像做对抗性但语义层面看似合理的修改(例如轻微改变年龄外观、调整头部姿态),就能诱导模型产生误分类。这类语义攻击比传统的像素级噪声扰动更贴近真实威胁场景(因为修改后的图像仍看起来像同一个人),但现有攻击方法计算开销很大,导致研究者难以用它们进行对抗训练等防御研发。为填补这一空白,作者提出 BoundStyle:一种在 StyleGAN 丰富潜空间中运行的强语义攻击,以最大化误分类率为目标进行搜索。BoundStyle 在保持高攻击成功率的同时,比现有最先进攻击快约 9.5 倍,使对抗训练在算力上变得可行。在 BoundStyle 基础上,作者进一步提出 StyleAT——一种高效的对抗训练方案:训练阶段只使用"低预算"(即低成本、较弱)的攻击变体,但训练出的模型仍能抵御更强、且训练时未曾见过的语义攻击。实验方面,作者在训练阶段未接触过的两个数据集和七个模型上进行评测,结果显示 StyleAT 提升了对最先进语义攻击的鲁棒准确率,并在多种设置下优于常见防御方法。该工作属于对抗鲁棒性与生物特征安全交叉方向,适合人脸识别、对抗样本防御、身份认证系统的研究者与安全工程师阅读。

该论文提出了一种针对人脸识别系统的物理冒充攻击方法，名为 ImU。核心目标是让攻击者在不同拍摄条件、姿态和角度下，通过妆容实现一致且自然的外观风格变化，从而诱使人脸识别系统将攻击者错误分类为目标受害者（即内部人员）。传统物理对抗攻击往往需要夸张的图案或道具，容易引起怀疑且难以在不同照片中保持一致性。作者利用 StyleGAN 的潜空间特性，将同一物理个体在不同条件下的多张照片嵌入到潜向量，并利用这些潜向量之间的隐式相关性，搜索一组在物理上可通过化妆实现且跨图像一致的风格变化。该方法不需要攻击者拥有目标受害者的详细图像，只需从外部发起。数字环境与物理世界（真实化妆）实验均表明，攻击者能够以自然、一致的外观变化成功冒充内部人员。研究揭示了人脸识别系统在物理世界中的安全漏洞，强调仅依赖视觉特征比对的身份认证机制可能被低成本、低痕迹的妆容攻击绕过。适合人脸识别系统开发者、安全评估人员以及研究对抗攻击与物理世界安全交叉领域的研究者阅读。