人脸识别再曝安全隐患！19款主流手机及部分金融应用被攻破

　　攻击者拿到一张你的照片，据此制作一副特殊“眼镜”，就可以刷脸解锁你的手机？这是真的。

　　最近，依托清华大学人工智能研究院成立的团队瑞莱智慧RealAI披露了新的研究成果：研究人员通过对抗样本攻击，破解了19款安卓手机的人脸识别解锁系统。

　　同样被破解的，还包括十余款金融和政务服务类App。

研究人员使用的“眼镜”。

　　照片加上特殊“花纹”即可骗过人脸识别

　　在介绍RealAI的新研究之前，我们先简单解释一下何为“对抗样本”。

　　训练算法模型需要输入数据。而对抗样本，简单而言，就是一种由攻击者设计的错误输入数据。只要在原有数据上添加干扰因素，就能导致算法模型输出完全不同的结果。

　　人的肉眼可能完全看不出对抗样本的变化。所以，你也可以把干扰因素理解为一种特殊的“花纹”。

　　对抗样本最有名的例子之一，出自前谷歌大脑研究人员、有着“生成对抗网络（GAN）之父”称号的科学家伊恩·古德费洛（Ian Goodfellow）——在他的研究中，算法将一张大熊猫图片的对抗样本识别成了长臂猿。

研究人员在大熊猫图片上添加干扰后，算法将其识别成了长臂猿。

　　瑞莱智慧RealAI高级产品经理张旭东介绍，他们此次采用的破解方式，也是对抗样本攻击。

　　不过，不同于学术界研究较多的虚拟世界攻击，这一攻击发生在真实世界。研究人员不需要用到劫持摄像头等手段，便可以直接破解人脸识别系统。

　　在制作对抗样本时，研究人员需要同时用到“攻击者”和“受害者”的照片，将“攻击者”照片设定为基准、“受害者”照片设定为攻击目标。

　　攻击算法在接收到两人的照片后，会自动生成干扰后的图案，就像一块人脸“补丁”。随后，攻击者用A4纸打印出这块“补丁”，再贴到一副镜框上戴好，就会“化身”为受害者，让算法识别错误。

　　据了解，人脸识别算法，是依据相似度来分辨不同的人。两张图片的相似度高于阈值，就会被算法判定为同一人。攻击者通过戴上“补丁”眼镜让两个人的相似度大幅提高，从而实现破解。

　　19款主流品牌手机及数款银行应用被破解

　　据介绍，研究人员选取了20款手机进行测试，除了苹果以外，还涉及到国内五大主流手机品牌的不同价位机型。

　　经过测试，除了一台iPhone11，其余安卓机型全部被成功解锁。攻击者进入手机系统后，可以任意翻阅机主的微信、短信、照片等私密信息。

　　南都·AI前哨站在测试现场看到，攻击者破解手机的过程相当迅速，基本上几秒内就可以顺利解锁。

　　研究人员说，整体而言，低端机的安全性要差一些，但高端机同样能够被破解。他们测试了一款2020年12月发布的国产品牌旗舰机，也是“一下子就打开了”。

　　研究人员通过手机人脸识别解锁。

　　不仅仅是手机，部分App的人脸识别也存在类似的安全漏洞。

　　在掌握了受害者的姓名、身份证号、手机号等个人信息后，研究人员甚至可以在十余款银行及政务类App上通过人脸识别验证，冒用受害者身份完成银行开户，或者查看受害者的社保、公积金等详细信息。

　　值得注意的是，App实名认证的安全要求比手机解锁更加严格，一般会要求用户进行一些交互操作，比如眨眨眼、点点头。但在测试中，研究人员把对抗样本的眼睛部分挖掉，再做出眨眼、点头等动作，依然可以通过验证。

研究人员通过某政务类App人脸识别验证。

　　这意味着，即便是那些搭载了交互式活体检测功能的商用人脸识别算法，依然能被对抗样本破解。

　　有研究人员告诉南都·AI前哨站，目前业界主流的人脸识别算法都具备了活体检测能力，所以之前常见的用一张照片、一段视频来完成刷脸的做法已经行不通。但对抗样本攻击针对的是算法模型底层的漏洞，完全不受活体检测限制。攻击者在脸上添加了局部扰动，导致算法产生了错误识别。

　　“对于人脸识别应用来说，这是一个此前从未有过的攻击面，需要采取针对性的措施加固。”研究人员说。

　　破解的技术门槛较高 但仍有现实威胁

　　不同的手机厂商和App，使用的人脸识别算法难道没有差异？为什么同一副眼镜能解锁不同的手机和App？