| 講演名 | 2020-03-17 画像認識器に対するクローン訓練攻撃とその防御法に関する考察 金原 祥太(阪大), 中村 和晃(阪大), 新田 直子(阪大), 馬場口 登(阪大), |
|---|---|
| PDFダウンロードページ |  PDFダウンロードページへ |
| 抄録(和) | クライアントユーザから送信された画像に対しサーバが認識処理を実行し結果をユーザに返送する，という形のクライアント・サーバ型画像認識サービスが登場しつつある一方で，そのようなサービスに対する攻撃の危険性も指摘され始めている．本稿では，攻撃者が多数の画像をサーバに送信して認識結果を取得し，それらの対応関係からサーバの認識器と同等の機能を有する新たな認識器（これを「認識器クローン」と呼ぶ）を訓練する，という攻撃手段に注目する．本攻撃に対する防御手段としては，サーバが認識結果を故意に誤って返送する「故意誤り」が一定の効果を持つ．しかし，故意誤りの実行を前提とした更なる攻撃が成立する可能性がある．本稿では，その可能性を具体的に検証するため，準同一画像を利用して故意誤りの実行の有無を推測する攻撃法を検討する．同時に，その攻撃法に対する更なる防御法として，準同一画像の検知手法を提案する．実験の結果，今回考案した攻撃法が実効性を持つことが確認された一方，提案する防御法もある程度の効果を持つことが示されたが，改善の余地は残る． |
| 抄録(英) | Recently, cloud-based image recognition services are getting popular. A server of these services has a sophisticated image recognizer which is used to recognize images sent from client users and return the recognition results to the users. However, the server might suffer from a new type of attacks called cloning attack, in which an attacker sends a lot of images to the server and receives their recognition results to train a new recognizer that mimics the server’s original recognizer. The goal of this paper is to investigate a concrete method of cloning attack and its countermeasure. Naively, the server can prevent cloning attack by intentionally altering some percentage of its recognition results. This strategy is called intentional misrecognition, which could be failed if the attacker can estimate whether each image was intentionally misrecognized or not. We firstly propose a method to realize the estimation, using near-duplicate images. Then, we secondly propose a method of detecting the near-duplicate images as a countermeasure. Experimental results showed that both the methods are workable. |
| キーワード(和) | 画像認識 / クローン訓練攻撃 / 認識器クローン / 故意誤り / 準同一画像 |
| キーワード(英) | image recognition / cloning attack / cloned recognizer / intentional misrecognition / near-duplicate image |
| 資料番号 | PRMU2019-94 |
| 発行日 | 2020-03-09 (PRMU) |
| 研究会情報 | |
| 研究会 | PRMU / IPSJ-CVIM |
|---|---|
| 開催期間 | 2020/3/16(から2日開催) |
| 開催地（和） | 京都大学 |
| 開催地（英） | |
| テーマ（和） | 安全安心、セキュリティ・防災 |
| テーマ（英） | |
| 委員長氏名（和） | 佐藤 洋一(東大) |
| 委員長氏名（英） | Yoichi Sato(Univ. of Tokyo) |
| 副委員長氏名（和） | 玉木 徹(広島大) / 木村 昭悟(NTT) |
| 副委員長氏名（英） | Toru Tamaki(Hiroshima Univ.) / Akisato Kimura(NTT) |
| 幹事氏名（和） | 入江 豪(NTT) / 牛久 祥孝(オムロンサイニックエックス) |
| 幹事氏名（英） | Go Irie(NTT) / Yoshitaka Ushiku(OMRON SINICX) |
| 幹事補佐氏名（和） | 内田 祐介(DeNA) / 山下 隆義(中部大) |
| 幹事補佐氏名（英） | Yusuke Uchida(DeNA) / Takayoshi Yamashita(Chubu Univ.) |
| 講演論文情報詳細 | |
| 申込み研究会 | Technical Committee on Pattern Recognition and Media Understanding / Special Interest Group on Computer Vision and Image Media |
|---|---|
| 本文の言語 | JPN |
| タイトル（和） | 画像認識器に対するクローン訓練攻撃とその防御法に関する考察 |
| サブタイトル（和） | |
| タイトル（英） | Method of Cloning Attack against Image Recognizer and Its Countermeasure |
| サブタイトル（和） | |
| キーワード(1)（和/英） | 画像認識 / image recognition |
| キーワード(2)（和/英） | クローン訓練攻撃 / cloning attack |
| キーワード(3)（和/英） | 認識器クローン / cloned recognizer |
| キーワード(4)（和/英） | 故意誤り / intentional misrecognition |
| キーワード(5)（和/英） | 準同一画像 / near-duplicate image |
| 第 1 著者 氏名（和/英） | 金原 祥太 / Shouta Kinbara |
| 第 1 著者 所属（和/英） | 大阪大学(略称：阪大) Osaka University(略称：Osaka Univ.) |
| 第 2 著者 氏名（和/英） | 中村 和晃 / Kazuaki Nakamura |
| 第 2 著者 所属（和/英） | 大阪大学(略称：阪大) Osaka University(略称：Osaka Univ.) |
| 第 3 著者 氏名（和/英） | 新田 直子 / Naoko Nitta |
| 第 3 著者 所属（和/英） | 大阪大学(略称：阪大) Osaka University(略称：Osaka Univ.) |
| 第 4 著者 氏名（和/英） | 馬場口 登 / Noboru Babaguchi |
| 第 4 著者 所属（和/英） | 大阪大学(略称：阪大) Osaka University(略称：Osaka Univ.) |
| 発表年月日 | 2020-03-17 |
| 資料番号 | PRMU2019-94 |
| 巻番号（vol） | vol.119 |
| 号番号（no） | PRMU-481 |
| ページ範囲 | pp.151-156(PRMU), |
| ページ数 | 6 |
| 発行日 | 2020-03-09 (PRMU) |