基于属性引导的潜在空间对抗编辑人脸隐私保护方法(AG-FIP)研究

研究人员针对当前人脸识别(FR)系统对个人隐私的威胁，开发了一种名为"属性引导人脸身份保护(AG-FIP)"的新方法。该方法通过在潜在空间中进行属性编辑生成对抗样本，既能有效混淆黑盒FR模型和商业API（攻击成功率提升10.17%-21.22%），又能保持图像自然视觉效果。研究创新性地设计了属性选择模块和对抗编辑模块，解决了传统方法在保护效果与视觉质量间的平衡难题，为人脸隐私保护提供了新思路。

　　

在数字化时代，社交媒体上泛滥的人脸照片正面临被非法采集和分析的风险。传统的人脸隐私保护方法如模糊、马赛克等虽然简单，但严重损害图像质量且容易被现代鲁棒的人脸识别(FR)模型破解。而现有的对抗攻击方法存在两难困境：基于像素扰动的会引入明显伪影，基于语义编辑的（如化妆迁移）对男性图像效果不佳。更关键的是，多数方法生成的对抗样本与原始图像相似度过高，仍存在隐私泄露风险。

针对这些挑战，中国科学院计算技术研究所的Yu Xu等人在《Visual Informatics》发表研究，提出了一种创新性的"属性引导人脸身份保护(AG-FIP)"框架。该方法巧妙地将人脸图像映射到生成对抗网络(GAN)的潜在空间，通过属性编辑实现对抗攻击，既保护隐私又保持自然视觉效果。

研究主要采用三项关键技术：1）基于HyperStyle的图像潜在空间映射技术；2）注意力机制的属性选择模块，能自适应地为不同源-目标图像对选择最优攻击属性；3）集成训练策略，结合多个本地替代FR模型提升对抗样本的迁移性。实验使用CelebA-HQ和FFHQ数据集，评估了包括IRSE50、FaceNet等6种FR模型和Face++等商业API。

研究结果方面：

1. 1.

   黑盒攻击性能：在FAR=10^-3阈值下，AG-FIP对IRSE50模型的攻击成功率达95%，比最佳基线提升10.17%；对商业API的平均攻击成功率提升21.22%。集成训练策略可进一步提高性能，如对Face++ API在FAR=10^-5时的成功率从2.13%提升至16.51%。

2. 2.

   身份保护效果：在包含800张图像的测试集中，AG-FIP的Top-1保护成功率平均达80%，显著高于AMT-GAN的3.03%和TIP-IM的50.5%。

3. 3.

   视觉质量评估：虽然L₂距离(0.02774)略高于梯度类方法，但LPIPS分数(0.03921)最优，表明其具有最佳的人类感知质量。用户研究显示85.51%参与者认为AG-FIP图像质量最佳。

4. 4.

   消融实验证实：混合目标图像风格可提升攻击迁移性（ASR增加15.6%），而属性选择模块使攻击成功率提高21.8%。研究还发现不同属性对攻击效果影响显著，如"发色"和"表情"编辑最为有效。

这项研究的重要意义在于：首次将潜在空间属性编辑与对抗攻击相结合，突破了传统方法在保护强度与视觉质量间的权衡限制。提出的AG-FIP框架不仅能有效抵御包括商业API在内的各种FR系统，生成的对抗图像还能保持自然视觉效果，解决了男性图像化妆迁移不自然等问题。此外，自适应属性选择机制为不同人脸特征提供了定制化保护方案。

未来研究可进一步优化计算效率，解决属性纠缠问题，并建立使用规范以防技术滥用。该成果为社交媒体时代的人脸隐私保护提供了切实可行的解决方案，对平衡技术创新与隐私保护具有重要启示。