杨净 发自 凹非寺
量子位 报道 | 公众号 QbitAI

人脸识别最新漏洞曝光，测试的安卓手机无一幸免！

要说之前，拿着照片直接往前置摄像头怼，肯定不能解锁手机。

但现在，RealAI团队有了一个办法，只需一副定制的“眼镜”，就可以秒秒钟破解手机的面部识别系统。

RealAI是来自清华大学人工智能研究院的官方产学研机构，专注从事AI安全攻防、鲁棒机器学习、隐私保护机器学习等前沿领域。

眼镜是这样式儿的。

所需的工具也很常见：一台打印机、一张A4纸、一副眼镜框。

通过AI算法绘制特殊花纹，打印下来裁剪成眼镜的形状，贴在眼镜框上，就可以破解了。

结果在15分钟内，除了一款iPhone 11，成功解锁了其余所有19部安卓机型。

这也就意味着，只要搭载了人脸识别功能的应用和设备，黑客都有可能利用这一漏洞，对用户的隐私安全和财产安全造成威胁。

那么具体是如何实现的呢？

安卓手机无一幸免

不同于以往在实验室中的测试，这场测试是在现实场景下的实打实“攻击”。

测试过程非常简单，只需要三个步骤。

首先，选取20款攻击对象。

除了一台iPhone 11，其余都是安卓机型。

这些手机涵盖了国内前五的手机品牌，覆盖了不同价位、不同型号，低端机到旗舰机都有。

甚至，连去年12月刚上市的旗舰手机也不放过。（Maybe大家可以猜猜是哪款，手动狗头）

第二步，录入人脸，也就是在20部手机里统一录入同一位测试人员的人脸验证信息。

第三步，定制“眼镜”。

拿到被攻击者的照片后，攻击者通过算法，在眼部区域生成干扰图案，然后打印出来裁剪成“眼镜”的形状，贴在镜框上。

这一“干扰图案”，看上去像是被攻击者的眼部图案，但其实是攻击者通过算法，计算生成的扰动图案。

△左一为被攻击对象的眼部图像，右一、右二为生成的对抗样本图案

这一技术叫做“对抗攻击”，利用了“对抗样本攻击”找到了算法漏洞从而实现的。而其中生成的干扰图案，就是对抗样本。

具体而言，就是将攻击者的图像设定为输入值，被攻击者的图像设定为输出值。

算法会自动计算出最佳的对抗样本图案，保证两张图像的相似度最高。

最终，除了iPhone11幸免于难，其余手机全部成功解锁，且攻击难度上也几乎没有区分，都是秒级解锁。

除此之外，测试人员还发现：

尽管普遍来看低端机识别安全性要更差一些，但抵御攻击性能的强弱似乎与手机是否高端机型并无直接联系。

比如说，有一款2020年12月最新发布的的旗舰机，多次测试下来发现，基本都是“一下子”就打开了。

“如果开源，黑客一张照片就可破解”

其实，对抗攻击技术算不上新颖。

2019年8月份，AI算法就在现实世界中首次实现攻击。

来自莫斯科国立大学、华为的研究者在脑门上贴一张对抗样本图案，就能让Face ID系统识别出错。

去年7月，芝加哥大学团队开发了一套算法，只在照片上做了小改动，就有如穿上「隐身衣」，导致微软旷视人脸识别100%失灵。

但这些攻击，仅仅只是让识别系统识别不出目标，并没有完成破解。

如今，RealAI团队真正实现了破解过程，且整个操作时长不到15分钟，这一方面证实了对抗样本攻击在现实生活中能够带来安全威胁。

另一方面也印证了人脸识别系统背后的隐忧。正如团队里的一个成员所说：

如果有黑客恶意开源这一算法的话，上手难度就被大大降低了，剩下的工作就只是找张照片。

言外之意就是，只要能拿到被攻击对象的1张照片，就能很快制作出犯罪工具，实现破解。

不过RealAI也表示，

所有的攻击研究，最终的目标还都是为了找出漏洞，然后再去针对性的打补丁、做防御。

目前，他们已开发了相应的防御产品去协助手机厂商加固升级。

— 完 —

本文系网易新闻•网易号特色内容激励计划签约账号【量子位】原创内容，未经账号授权，禁止随意转载。

加入AI社群，拓展你的AI行业人脉

量子位「AI社群」招募中！欢迎AI从业者、关注AI行业的小伙伴们扫码加入，与50000+名好友共同关注人工智能行业发展&技术进展：

量子位 QbitAI · 头条号签约作者

վ'ᴗ' ի 追踪AI技术和产品新动态

一键三连「分享」、「点赞」和「在看」

科技前沿进展日日相见~