基于图像重照明的深度伪造检测躲避方案

Evading DeepFake Detectors Based on Portrait Relighting

摘要

现有的深度伪造检测技术并不鲁棒，容易遭受对抗攻击的干扰。为此，提出一种基于图像重照明的鲁棒并且隐蔽的对抗攻击方案，通过估计、分离原始光照，并使用精心设计的对抗光照对原始的输入进行重新渲染，可以有效绕过现有的基于空域、频域和生理信号域等三类常见的检测方法。实验评估了攻击的有效性、对现有检测方法的通用性、针对图像变换的鲁棒性以及视觉质量损失等。实验结果表明，本文方案针对现有的三种深度伪造检测方法，在白盒情况下攻击成功率达到99.6%，在黑盒情况下最优攻击率为69.8%，并可以抵御常见的图像变换的扰动攻击，具有很好的鲁棒性，可以有效地部署在真实环境中。

Abstract

The current detectors are not robust enough to adversarial attacks. In this paper, we introduce a robust and universal adversarial attack scheme based on portrait relighting, by estimating and separating the original light distribution, and re-rendering the image with an elaborately-designed one, which can evade spatial-based, frequency-based and biological signal-based DeepFake detectors. We conduct our experiments to evaluate the efficiency, universality and robustness, and the results show that the attack success rate reaches 99.6% in the case of white box, and the optimal attack rate is 69.8% in the case of black box. Besides, the adversarial examples can resist against common image transformations, which shows great robustness and can be deployed in real-world environment.

Graphical abstract

关键词

深度伪造 / 对抗攻击 / 图像重照明

Key words

DeepFake / adversarial attack / portrait relight

0　 引 言

深度伪造(DeepFake)是一种基于深度学习的伪造与篡改技术，可以合成逼真的图像、语音和视频等^[1]。近年来，某些不法分子利用深度伪造技术，传播各种虚假信息，不仅对个人的安全和隐私带来威胁，也对国家安全与社会稳定带来了巨大的挑战。一些研究通过在空域、频域或生理信号域等维度挖掘真伪之间的细微区别，判断是否被伪造。然而，研究表明现有的深度伪造检测方法并不鲁棒，容易被基于攻击噪声的躲避技术所欺骗^[2]，导致被动检测失效技术无法区分真伪。

目前针对深度伪造检测方法的躲避攻击旨在通过向目标图像添加肉眼无法察觉的细微干扰来欺骗检测器，最直接的做法是添加不可见的攻击噪声以破坏伪造痕迹，达到欺骗检测器的目的。然而现有的工作普遍存在如下问题：1） 通用性不足。大多针对基于空域的深度伪造检测方法，通过在输入中添加扰动来绕过检测。然而随着深度伪造检测技术的不断进步，已涌现基于生理信号域等特殊语义特征的分析技术，面对非空域检测器，现有方法表现出较差的通用性^[3]。2） 鲁棒性差。加性扰动十分微弱，与非加性扰动相比，很容易在传输过程中遭受破坏，或是被简单的滤波、模糊处理以及压缩等所抑制^[4]。

针对上述不足，本文将图像风格迁移领域中的重照明技术首次应用于深度伪造对抗领域，提出了基于图像重照明的深度伪造检测躲避技术，通过估计原始光照分布并对原始图像进行分解，得到与光照无关的身份向量，并且用对抗性光照替代原始光照分布对身份向量进行重渲染，生成的重照明图像诱导目标检测模型作出错误的预测结果。图像重照明相比于现有同类方法的优势在于允许攻击者在较大强度更改图像的同时，依旧保持图像符合人眼的视觉特性，不易被察觉^[5]。此外，这种操作是在感知域中进行全局变化，其高级语义特征能够在图像处理时更完整地保存下来，并且重照明可以在物理世界中进行有效的重现。

重照明操作应用于欺骗深度伪造检测方法时，需自适应选取目标重照明的光源分布以及调整不同区域的光照强弱。据此，本文所提出的基于图像重照明的深度伪造检测躲避技术分为3个阶段:解照明、重照明与对抗光照更新。解照明阶段用于估计原始光照，并分离出与光照无关的身份信息，排除原始光照的干扰；重照明阶段初始化对抗光照，并对图像进行渲染，得到对抗重照明样本；对抗光照更新阶段则借助一个替代模型去估计待攻击模型的梯度，并指导下一次迭代的目标光照分布与光照强弱情况。

1　 相关工作

1.1　深度伪造被动检测技术

根据特征域的不同，深度伪造的被动检测方法可以大致分为空域、频域与生理信号域的检测^[6]。其中，空域检测主要利用头部姿势、面部色彩不连贯等颜色与纹理特征进行分析^[7]； 频域检测则是利用离散傅里叶变化或是自制的滤波器，将图像映射到频域空间中，分析并定位样本的异常频段^[8]；随着深度伪造技术的不断发展，高质量样本中的伪影都得到了一定程度的弥补，随之诞生出基于生理信号域的检测技术，它利用伪造所带来的脉搏与心跳的不连贯性进行伪造痕迹的捕捉^[9]，取得了很好的效果。

在现实场景中，由于攻击者无法得知检测方利用何种特征进行分析，因此一个通用的躲避攻击需有效地欺骗上述三类检测。

1.2　深度伪造检测躲避技术

早期针对深度伪造检测器的躲避方案大多将深度伪造视为二分类问题，借鉴图像分类器攻击的先验方法，直接将对抗噪声添加到原始图像中^[10]。随着对深度伪造研究的逐渐深入，更多的研究者对人脸图像的特殊性进行了研究。FakePolisher^[11]试图将真实人脸图像特征编码成字典，驱使伪造图像编码靠近字典中的正常编码，这种方式无法对生理信号域特征进行编码，因此该方法的通用性十分有限。VQ-VAE^[12]使用深度抖动对伪造图像的伪影痕迹进行补偿，然而这种处理引入的依旧是加性变化，鲁棒性有限。

以往工作大都直接引入加性噪声进行扰动，虽然取得了一定的效果，但是往往忽略了鲁棒性与通用性的不足，所生成的对抗信息易被传输损耗或常见的图像变化操作所破坏。

2　 本文方案

2.1　研究动机

针对现有深度伪造检测的躲避攻击方法无法满足真实应用场景中的通用性需求，以及由传输损失或取证方预处理防御下的鲁棒性需求，本文提出了基于光照重照明的深度伪造检测躲避方案，如图1所示。本文将重照明操作应用于欺骗深度伪造检测，自适应选取目标重照明的光源分布以及调整不同区域的光照强弱，将对抗信息添加到光照分布中，生成原始人物在对抗光照条件下的样本，在保证视觉质量的同时提高模型的通用性与鲁棒性，对多种不同的深度伪造检测方法实施有效攻击。

2.2　方案设计

本文所提出的基于图像重照明的深度伪造检测躲避框架如图2所示，主要分为三个阶段：解照明、重照明与对抗光照更新。模型接收原始图像与目标对抗光照作为输入，首先将原始图像的光照分布进行估计与抽离，随后使用目标光照进行重照明，最后根据此次样本质量进行迭代，输出最优样本。

2.2.1　图像解照明

图像解照明阶段估计原始光照分布，并提取与原始光照无关的身份特征，用于后续使用对抗光照进行重渲染。考虑判别网络通常仅对人脸区域进行分析与检测，首先进行预处理操作，使用人脸分割网络截取人脸图像，以排除背景等弱相关信息的干扰，并对裁剪后的人脸区域进行色域转换，将图像从对光照不敏感的RGB空间转化至光照敏感的LAB空间。随后对人脸图像的原始光照进行估计，用于控制后续对抗目标光照的变化范围，减小重照明图像的视觉质量损失，借助Lambertian模型^[13]将人脸图像分解为光照特征和与光照无关的身份特征两部分。在提取光照特征时，每次卷积后将会伴随一次下映射操作，用于防止梯度消失。获取光照特征后，使用解码器将光照特征分解为128×128的光照分布向量{\mathit{L}}_{\mathrm{s}\mathrm{o}\mathrm{u}\mathrm{r}\mathrm{c}\mathrm{e}}，完成原始光照估计。后续的光照解渲染阶段用它获取身份特征表示，便于用目标光照重新渲染原始的人脸。在估计出原始光照分布后，借助残差神经网络对图像进行光照与身份信息的分解，获取待渲染的与光照无关的形状向量{\mathit{L}}_{\mathrm{s}\mathrm{h}\mathrm{a}\mathrm{p}\mathrm{e}}，对抗光照扰动的添加。

2.2.2　图像重照明

图像重照明阶段将初始光照或对抗生成的目标光照分布渲染到解照明时提取的身份信息中，将能够影响待攻击检测器判断的光照变换扰动非线性地添加到原始图像中。

对抗光照生成步骤将初始化或迭代生成128×128的目标光照分布向量{\mathit{L}}_{\mathrm{a}\mathrm{d}\mathrm{v}}。考虑到光照变化的自然性，初始化时除了利用原始光照分布，还纳入了5个先验的光照分布情况，分别对应光源在人物左侧、左上侧、上侧、右上侧和右侧的场景。在先验对抗光照分布的照射下，即使对抗样本相较于原始图像而言在风格上发生了较大幅度的更改，依旧符合人眼视觉特性，可有效进行欺骗。

光照重渲染步骤用目标对抗光照对身份特征进行渲染，将对抗光照扰动非加性地添加到图像样本中。首先借助编码器对光照分布图进行编码，得到光照特征，随后使用神经网络将光照特征{\mathit{L}}_{\mathrm{a}\mathrm{d}\mathrm{v}}与形状特征{\mathit{L}}_{\mathrm{s}\mathrm{h}\mathrm{a}\mathrm{p}\mathrm{e}}进行融合，在每次卷积操作后会跟着一个上映射单元，用于维持梯度。最后将图像的色彩空间由LAB转化为RGB，完成对抗扰动在光照域中的添加。

2.2.3　对抗光照更新

对抗光照更新阶段用于评估此次光照的效果质量，并指导之后的目标对抗光照生成。借助深度学习领域中同任务下模型的梯度相似性与可转移性，使用预训练好的深度伪造检测模型作为替代模型，用于估计未知的待检测模型的梯度。

采用（1）式进行光照变化的迭代：

{\mathit{L}}_{\mathrm{a}\mathrm{d}\mathrm{v}}^{t+\mathrm{1}}=\mathrm{C}\mathrm{l}\mathrm{i}{\mathrm{p}}_{\mathit{L},ϵ}\{{\mathit{L}}_{\mathrm{a}\mathrm{d}\mathrm{v}}^t+\alpha \cdot \mathrm{s}\mathrm{i}\mathrm{g}\mathrm{n}\left({\nabla }_{\mathit{L}}\mathrm{l}\mathrm{o}\mathrm{s}\mathrm{s}\left(\cdot \right)\}\right.（1）

其中，{\mathit{L}}_{\mathrm{a}\mathrm{d}\mathrm{v}}^t代表在第t次迭代时所使用的对抗光照分布，\mathrm{l}\mathrm{o}\mathrm{s}\mathrm{s}\left(\cdot \right)代表更新过程中所设计的损失函数，{\nabla }_{\mathit{L}}表示计算光照\mathit{L}的梯度，\mathrm{C}\mathrm{l}\mathrm{i}\mathrm{p}\{\}表示对更新步骤进行切片，ϵ为允许修改的最大幅度。

为使得每次迭代都受到损失函数的约束与指导，每次迭代后，计算损失函数中光照梯度值与梯度相应的符号值，其中光照梯度符号值代表该次迭代中梯度变化的方向，据此可使得下一次的光照值沿梯度上升的方向变化，从而令对抗样本向损失函数增大的方向进行更新。同时，为了进一步提高更新变化的粒度，将最大容忍的更新步长进行均等切片，每次迭代将会在一个切片范围内进行，在若干次迭代过程中逐步增大样本的改变幅度，从而得到最终的扰动样本。

2.3　损失函数

损失函数用于控制并指导对抗样本的生成方向趋势，为保证模型的有效性与生成样本的视觉质量，损失函数L由三部分组成，包括分类损失L_{\mathrm{c}\mathrm{l}\mathrm{a}\mathrm{s}\mathrm{s}\mathrm{i}\mathrm{f}\mathrm{y}}、光照损失L_{\mathrm{r}\mathrm{e}\mathrm{l}\mathrm{i}\mathrm{g}\mathrm{h}\mathrm{t}}和感知损失L_{\mathrm{p}\mathrm{e}\mathrm{r}\mathrm{c}}，其中，分类损失用于控制迭代朝向样本攻击成功的方向进行，光照损失和感知损失用于保证对抗样本的质量，并引入超参数α与β控制一次有效攻击所能容忍的最大样本质量下降幅度，如（2）式所示：

L=L_{\mathrm{c}\mathrm{l}\mathrm{a}\mathrm{s}\mathrm{s}\mathrm{i}\mathrm{f}\mathrm{y}}+\alpha \times L_{\mathrm{r}\mathrm{e}\mathrm{l}\mathrm{i}\mathrm{g}\mathrm{h}\mathrm{t}}+\beta \times L_{\mathrm{p}\mathrm{r}\mathrm{e}\mathrm{c}}（2）

其中，分类损失用于降低图像原始标签的预测概率，即最大化在该类上的损失，通过神经网络最后一层Softmax分类层值中对抗光照的梯度信息计算得到，如（3）式所示：

L_{\mathrm{c}\mathrm{l}\mathrm{a}\mathrm{s}\mathrm{s}\mathrm{i}\mathrm{f}\mathrm{y}}=\mathrm{N}\mathrm{e}\mathrm{t}\mathrm{w}\mathrm{o}\mathrm{r}\mathrm{k}\left(\mathit{I},y_{\mathrm{l}\mathrm{a}\mathrm{b}\mathrm{e}\mathrm{l}}\right)（3）

其中，Network()为替代模型，\mathit{I}表示原始光照向量，y_{\mathrm{l}\mathrm{a}\mathrm{b}\mathrm{e}\mathrm{l}}为样本的真实标签。

光照损失用于控制该次重照明所带来的光照风格变化幅度，计算原始光照与对抗光照的L1损失，对抗光照与原始光照的差距越大，则光照损失所带来的惩罚越大，由此使得迭代向光照更改较少的方向进行，避免对抗样本与原始样本风格差距过大，保证重照明图像的生成质量，如（4）式所示：

L_{\mathrm{r}\mathrm{e}\mathrm{l}\mathrm{i}\mathrm{g}\mathrm{h}\mathrm{t}}=-{\left|\left|{\mathit{I}}_{\mathrm{a}\mathrm{d}\mathrm{v}}-\mathit{I}\right|\right|}_{\mathrm{1}}（4）

其中，{\mathit{I}}_{\mathrm{a}\mathrm{d}\mathrm{v}}表示对抗光照向量，{\left|\left|x,y\right|\right|}_{\mathrm{1}}表示x与y的L1损失值。

感知损失用于保持重照明变化前后对人眼产生感知特征的一致性，它由光照分布的L1损失与神经网络每一层的特征图的L2损失计算而得。相较于像素损失，感知损失能够从更高维度综合反映出两张图像在视觉上对人眼是否自然，允许幅度相对较大但仍符合人眼视觉规律的扰动样本的产生，如（5）式所示：

L_{\mathrm{p}\mathrm{e}\mathrm{r}\mathrm{c}}=-\left({\left|\left|{\mathit{I}}_{\mathrm{a}\mathrm{d}\mathrm{v}}-\mathit{I}\right|\right|}_{\mathrm{1}}+\sum _i{\left|\left|l_i\left({\mathit{I}}_{\mathrm{a}\mathrm{d}\mathrm{v}}\right)-l_i\left(\mathit{I}\right)\right|\right|}_{\mathrm{2}}\right)（5）

其中，{\left|\left|x,y\right|\right|}_{\mathrm{1}}表示x与y的L1损失值，l_i(\mathit{I})表示计算神经网络在第i层上的特征图。通过计算原始样本与对抗样本在多层特征图的L2损失，使得生成的对抗样本在多视角、多尺度上尽可能保持与原图的相似性，从而保证感知层面上的视觉质量。

3　 实验设置

3.1　数据集与模型

本文实验采用FaceForensics++大型深度伪造数据集，该数据集包含来自YouTube的真实视频与由DeepFakes、Face2Face、FaceSwap和NeuralTexture四种伪造方法生成的对应伪造视频。实验所用的训练集、验证集和测试集的比例为4∶1∶1，对每个视频，提取200帧图片构成整体数据集。

为了验证本文方案的通用性，采用三种常见的深度伪造检测方法进行测试，它们分别是基于空域的检测方法MesoNet^[14]、基于频域的检测方法FrequencyForensics^[15]和基于生理信号域的检测方法DeepfakesON-Phys^[16]（简写为DeepPhys）。其中，MesoNet直接对图像的RGB像素进行卷积，FrequencyForensics对图像进行频域变换以捕捉频域伪影，DeepPhys提取能反映出心跳生理特征的PPG信号进行检测。

此外，本文依据攻击范式受限为否，选取两种现有的基于噪声的对抗攻击方案进行对比，分别为C&W^[17]和ACE^[18]，其中前者与本文方案均为范式受限的攻击，即仅允许添加的扰动限制在一定的范围区间，而后者则为范式非受限攻击，即算法将一直迭代至样本成功欺骗目标模型或替代模型，二者可有效代表现有的主流攻击方案类别。

3.2　网络实现

本文的网络主要包括对抗重照明网络与替代模型两部分组成。其中，对抗重照明网络整体呈现沙漏形式，由8个卷积与下映射单元、ResBlock^[19]和8个卷积与上映射单元构成，替代模型使用Xception^[20]实现，经多次实验测试，选取对抗重照明网络的学习率为0.01，替代模型的学习率设置为0.002，（2）式中损失函数的权重设置为\alpha =\mathrm{0.1},\beta =\mathrm{0.05}，每次迭代的步长设置为16/255。

3.3　评估指标

本文从攻击成功率、通用性、鲁棒性和视觉质量损失等四个维度分别设计实验进行性能评估。攻击成功率定义为对抗攻击后使得待攻击模型判断错误的样本占总样本的百分比，数值越高，攻击方案性能越好。视觉质量损失采用学习感知图像块相似度（LPIPS）、基于感知的图像质量评估器（PIQE）与信息熵作为定性指标。LPIPS衡量两幅图像在感知领域的相似性，PIQE用于评估单个图像的质量，信息熵用于评估对抗样本的细节保留程度。PIQE和LPIPS越低，信息熵越高，对抗性测试样本的视觉质量越好。

4　 实验结果

4.1　有效性测试

为了评估攻击方案的有效性，本文测试三类方案在黑盒和白盒情况下的攻击成功率；为了测试方案的通用性，比较了不同方案在空域、频域与生理信号域三类检测器上的攻击成功率差异，实验结果如表1所示。

白盒攻击条件下攻击者可完全获取模型的架构和参数细节，并迭代至成功使得检测模型误判为止。本文方案获得了99.6%的最佳攻击成功率，C&W在白盒条件下性能接近本文方案，但平均迭代次数将达到200次。相比之下，本文方案迭代次数不超过30次，节省大量计算资源，具有更好的实用性。此外，由于早停机制，ACE未能表现得更好，成功率仅为93.4%。

黑盒攻击条件下攻击者无法获取待攻击模型的细节，迭代在使得模型成功误判或是达到最大迭代次数时停止。生理信号域检测器依据皮肤的漫反射特性，通过时空特征学习面部区域漫反射光照变化的连贯性以进行真伪视频的判断；本文方案相较对比方案而言，能够保证视频连续帧均表现出相似的光照环境特征，帧间感知域的变化自然统一，可有效干扰生理信号的提取，达到了69.8%的最高攻击成功率。此外，针对空域检测攻击也取得了66.1%的成功率。在频域检测攻击方面，三类攻击方案均未直接对频域伪影进行操作，因而表现出相似的劣势；ACE作为范式非受限的攻击方案，体现出明显的迭代次数优势，因此本文所述方案相较于ACE，攻击成功率下降1.7%。然而，非受限攻击无法保证数次迭代后对抗样本与原始样本的相似性，会造成极为显著的视觉质量损失。

4.2　鲁棒性测试

本文将JPEG压缩和高斯模糊作为测试攻击样本鲁棒性的对抗方法。对于JPEG压缩，质量因子设置为[1.0,0.9,0.8,0.7,0.6,0.5]；对于高斯模糊，内核大小设置为[0,1,2,3,4,5]。考虑到在现实生活中存在鲁棒性安全问题，并且在现实场景下攻击者无法获取待攻击模型的全部细节，因此本节实验均在黑盒环境下进行。

抗JPEG压缩鲁棒性的结果如图3所示。C&W性能下降最为剧烈，仅通过轻微压缩便可将其成功率降低至10%。相较而言，本文的方案鲁棒性最好，成功率最多下降9.7%。ACE生成的示例也相对健壮，但视觉质量将会在压缩后进一步变差，限制了其在实际场景中的使用。

当将高斯模糊应用于对抗性示例时，所有方案的成功率都会急剧下降，如图4所示。因为模糊对图像的颜色和纹理细节更具破坏性^[21]。在强模糊处理下，C&W将完全失效，ACE的攻击成功率也下降至20%。相较而言，本文方案取得了最好的抗高斯模糊能力。

4.3　视觉质量损失测试

如表2所示，本文方案的PIQE小于其他方案，这归功于本文所设计的损失函数最大程度保证了图像在视觉上的自然性。就LPIPS而言，本文方案略小于C&W，因为对抗光照在生成样本符合人眼视觉特征时，容忍相对较大的全局性风格变化。ACE作为范式非受限攻击，过于追求攻击的有效性，忽略了图像质量的保证。本文所生成的对抗样本可有效保证图像的语义一致性，体现出最高的图像信息熵。

5　 结 语

本文发现现有的空域、频域、生理信号域深度伪造检测器均易收到基于重照明的对抗样本攻击，并据此设计了一种新的面向深度伪造的躲避攻击方案，通过自适应对图像进行重照明绕过深度伪造检测器的检测。此外，设计了一个损失函数保证了攻击的有效性与重照明的视觉质量。本文方案可同时适用于白盒与黑盒攻击，并可以有效地欺骗基于空域、频域与生理信号域的检测方法。实验表明，本文方案具有很强的鲁棒性，可有效抵抗JPEG压缩和高斯模糊处理，在现实对抗场景中具有较强的实用性，可有效揭露出现有检测方案在光照域中存在的不足，并可用于指导生成更高质量的样本。在未来，我们计划进一步对模型进行轻量化，提高对抗样本的生成效率。

参考文献

[1] WESTERLUND M. The emergence of deepfake technology： A review［J］. Technology Innovation Management Review， 2019， 9（11）： 39-52. DOI： 10.22215/timreview/1282 .

[2] NEEKHARA P， DOLHANSKY B， BITTON J， et al. Adversarial threats to DeepFake detection： A practical perspective［C］//2021 IEEE/CVF Conference on Computer Vision and Pattern Recognition Workshops （CVPRW）. New York： IEEE Press， 2021： 923-932. DOI： 10.1109/CVPRW53098.2021.00103 .

[3] MASOOD M， NAWAZ M， MALIK K M， et al. Deepfakes generation and detection： State-of-the-art， open challenges， countermeasures， and way forward［J］. Applied Intelligence， 2023， 53（4）： 3974-4026. DOI： 10.1007/s10489-022-03766-z .

[4] LEIBOWICZ C R， MCGREGOR S， OVADYA A. The deepfake detection dilemma： A multistakeholder exploration of adversarial dynamics in synthetic media［C］//Proceedings of the 2021 AAAI/ACM Conference on AI， Ethics， and Society. New York： ACM， 2021： 736-744. DOI： 10.1145/3461702.3462584 .

[5] HOU A， SARKIS M， BI N， et al. Face relighting with geometrically consistent shadows［C］//2022 IEEE/CVF Conference on Computer Vision and Pattern Recognition （CVPR）. New York： IEEE Press， 2022： 4207-4216. DOI： 10.1109/CVPR52688.2022.00418 .

[6] RÖSSLER A， COZZOLINO D， VERDOLIVA L， et al. FaceForensics： Learning to detect manipulated facial images［C］//2019 IEEE/CVF International Conference on Computer Vision （ICCV）. New York： IEEE Press， 2020： 1-11. DOI： 10.1109/ICCV.2019.00009 .

[7] YANG J C， LI A Y， XIAO S， et al. MTD-net： Learning to detect deepfakes images by multi-scale texture difference［J］. IEEE Transactions on Information Forensics and Security， 2021， 16： 4234-4245. DOI： 10.1109/TIFS.2021.3102487 .

[8] QIAN Y Y， YIN G J， SHENG L， et al. Thinking in frequency： Face forgery detection by mining frequency-aware clues［C］//Computer Vision — ECCV 2020. Cham： Springer International Publishing， 2020： 86-103. DOI： 10.1007/978-3-030-58610-2_6 .

[9] CIFTCI U A， DEMIR İ， YIN L J. How do the hearts of deep fakes beat？ Deep fake source detection via interpreting residuals with biological signals［C］//2020 IEEE International Joint Conference on Biometrics （IJCB）. New York： ACM， 2020： 1-10. DOI： 10.1109/IJCB48548.2020.9304909 .

[10] GANDHI A， JAIN S. Adversarial perturbations fool deepfake detectors［C］//2020 International Joint Conference on Neural Networks （IJCNN）. New York： IEEE Press， 2020： 1-8. DOI： 10.1109/IJCNN48605.2020.9207034 .

[11] HUANG Y H， JUEFEI-XU F， WANG R， et al. FakePolisher： Making DeepFakes more detection-evasive by shallow reconstruction［C］//Proceedings of the 28th ACM International Conference on Multimedia. New York： ACM， 2020： 1217-1226. DOI： 10.1145/3394171.3413732 .

[12] XIE H， NI J Q， ZHANG J， et al. Evading generated-image detectors： A deep dithering approach［J］. Signal Processing， 2022， 197： 108558. DOI： 10.1016/j.sigpro.2022.108558 .

[13] BASRI R， JACOBS D W. Lambertian reflectance and linear subspaces［J］. IEEE Transactions on Pattern Analysis and Machine Intelligence， 2003， 25（2）： 218-233. DOI： 10.1109/TPAMI.2003.1177153 .

[14] AFCHAR D， NOZICK V， YAMAGISHI J， et al. MesoNet： A compact facial video forgery detection network［C］//2018 IEEE International Workshop on Information Forensics and Security （WIFS）. New York： IEEE Press， 2019： 1-7. DOI： 10.1109/WIFS.2018.8630761 .

[15] WOLTER M， BLANKE F， HEESE R， et al. Wavelet-packets for deepfake image analysis and detection［EB/OL］. 2021： arXiv： 2106.09369. DOI: 10.1007/s10994-022-06225-5 .

[16] HERNANDEZ-ORTEGA J， TOLOSANA R， FIERREZ J， et al. DeepFakesON-Phys： DeepFakes detection based on heart rate estimation［EB/OL］. 2020： arXiv： 2010.00400. DOI: 10.1109/compsac48688.2020.00031 .

[17] CARLINI N， WAGNER D. Towards evaluating the robustness of neural networks［C］//2017 IEEE Symposium on Security and Privacy （SP）. New York： IEEE Press， 2017： 39-57. DOI： 10.1109/SP.2017.49 .

[18] ZHAO Z， LIU Z， LARSON M. Adversarial color enhancement： Generating unrestricted adversarial images by optimizing a color filter［EB/OL］. 2020： arXiv： 2002.01008. DOI: 10.1109/cvpr42600.2020.00112 .

[19] HE K M， ZHANG X Y， REN S Q， et al. Deep residual learning for image recognition［C］//2016 IEEE Conference on Computer Vision and Pattern Recognition （CVPR）. New York： IEEE Press， 2016： 770-778. DOI： 10.1109/CVPR.2016.90 .

[20] CHOLLET F. Xception： deep learning with depthwise separable convolutions［C］//2017 IEEE Conference on Computer Vision and Pattern Recognition （CVPR）. New York： IEEE Press， 2017： 1800-1807. DOI： 10.1109/CVPR.2017.195 .

[21] SAYED M， BROSTOW G. Improved handling of motion blur in online object detection［C］//2021 IEEE/CVF Conference on Computer Vision and Pattern Recognition （CVPR）. New York： IEEE Press， 2021： 1706-1716. DOI： 10.1109/CVPR46437.2021.00175 .

基金资助

国家自然科学基金(61876134)

国家重点研发计划(2020YFB1805400)

湖北省自然科学基金(2021CFB089)