Machine Translated by Google

论泛型人脸的恶搞跟踪
反欺骗

Yaojie  Liu,  Joel  Stehouwer,  and  Xiaoming  Liu  

密歇根州立大学，
东兰辛  MI  48823，
美国  {liuyaoj1,stehouw7,liuxm}
@msu.edu

输入 欺骗痕迹 重建现场 输入 欺骗痕迹 重建现场

播
重
品
妆
化

印
打

3D
版
蒙

图  1：
所提出的方法可以检测恶搞面孔， 解开恶搞痕迹，并重建活的对应物。它可以应用于各种
恶搞类型并识别不同的痕迹（例如， 重放攻击中的莫尔图案，化妆攻击中的人造眉毛和蜡，打印
攻击中的颜色失真， 以及  3D  蒙版攻击中的镜面高光）。放大细节。

抽象的。 先前的研究表明， 面部反欺骗的关键在于细微的图像图案， 称为“欺骗痕迹”，例如颜色失

真、  3D  蒙版边缘、
莫尔图案等。 设计一个通用的反欺骗模型来估计这些欺骗痕迹， 不仅可以提高
欺骗检测的泛化能力， 还可以提高模型决策的可解释性。 然而， 由于欺骗类型的多样性以及欺骗痕
迹中缺乏基本事实， 这是一项具有挑战性的任务。 这项工作设计了一种新颖的对抗性学习框架， 以
将欺骗痕迹从输入人脸中分离出来， 作为多尺度模式的分层组合。 通过解开的恶搞痕迹， 我们揭开
了原始恶搞脸的真实对应物， 并在适当的几何校正后进一步合成逼真的新恶搞脸。 我们的方法在可
见和不可见的欺骗场景中展示了卓越的欺骗检测性能， 同时提供了视觉上令人信服的欺骗痕迹估
计。
代码可在https://github  获得。  com/yaojieliu/ECCV20‑STDN 。

1  简介

近年来， 由于各种物理和数字攻击， 面部生物识别系统的脆弱性已得到广泛认可， 并引起了视觉界的日益

关注。 有各种物理和数字攻击， 例如面部变形[13,52,55]、
面部对抗攻击[14,20,44]、 面部操纵攻击（例
如，  deepfake、
面部交换）[9,45 ] ，
以及面部欺骗（即演示攻击） [ 5,19,40 ]，
可用于攻击生物识别系统。
在所有这些攻击中， 人脸欺骗是唯一可以欺骗系统的物理攻击， 攻击者可以从
Machine Translated by Google

2 Y.刘等人。

欺骗媒介，
例如照片、
屏幕、
面具和化妆，
而不是真人。
这些恶搞媒介很容易被普通人制造出来，对手机人脸解锁、
楼宇门禁、
交通安全等应用构成巨大威胁。
因此，
在执行人脸识别任务之前，需要使用人脸反欺骗技术来增强人脸生物识别系统。

人脸反欺骗1  已经研究了十多年， 最常见的方法之一是基于纹理分析[6,7,37]。研究人员注意到，
从恶搞媒体呈现人脸会引入特殊的纹理差异， 例如颜色失真、不自然的镜面高光、
莫尔图案等。这些纹
理差异是恶搞媒体固有的， 因此很难去除或伪装。 早期的作品构建了一个传统的特征提取器加分类器
管道， 例如  LBP+SVM  和  HOG+SVM  [17,26]。
最近的工作利用了深度学习技术并取得了很大进展  
[4,29,31,41,51]。

然而，基于深度学习的方法有两个限制。 首先，大多数先前的作品都涉及有限的恶搞类型，无论是
打印/重放还是单独的  3D  蒙版，
而现实世界的反欺骗系统可能会遇到各种各样的恶搞类型， 包括印
刷、
重播、  3D  蒙版和面部化妆。其次， 许多方法将人脸反欺骗仅仅定义为一个分类/回归问题， 以单
个分数作为输出。 尽管一些方法[29,24,51]试图通过固定、显着性或噪声分析来提供洞察力，
但对于
实时和恶搞之间的确切区别以及分类器的决策所基于的模式知之甚少。

我们将所有现有欺骗类型的人脸欺骗检测视为通用人脸反欺骗， 并将区分欺骗人脸及其实时对
应物的模式称为欺骗跟踪。如图  1  所示，
这项工作旨在为通用人脸反欺骗模型配备从输入人脸中显
式提取欺骗痕迹的能力。我们将此过程称为欺骗跟踪解缠结。 由于欺骗痕迹的多样性和痕迹的基本
事实的缺乏，这是一个具有挑战性的目标。 然而，
我们相信解决这个问题可以带来几个好处：

1.面部反欺骗的二元分类会收集任何有助于分类的线索， 其中可能包括与欺骗无关的线索，
例如照
明，
从而阻碍泛化。相比之下，欺骗跟踪解开明确地解决了欺骗中最基本的线索，分类可以以此
为基础并见证更好的概括。

2.随着追求可解释AI的趋势[1,3]，
人脸反欺骗模型需要生成支持其二元决策的欺骗模式，并且欺骗
轨迹作为模型决策的良好视觉解释。 欺骗攻击的某些属性（例如，
严重性、方法论）
可能会基于跟
踪而被揭示。

3.恶搞痕迹是合成真实恶搞样本的良好来源。 高质量的合成可以解决少数欺骗类型的训练数据有
限的问题，
例如特殊的  3D  蒙版和化妆。

如图  2  所示， 我们提出了一个  Spoof  Trace  Disentanglement  Network  (STDN)来解决这个问题。
仅给定  live  vs.  spoof  的二进制标签，
STDN  采用
1
由于大多数人脸识别系统都是基于单目摄像头的，
因此这项工作仅涉及单目人脸反欺骗方法，
为简
单起见，
以下术语称为人脸反欺骗。
Machine Translated by Google

关于通用人脸反欺骗的欺骗痕迹的解开 3

重建现场
恶搞微量元素
真实现场
输入面
对比

假直播
‑

综合恶搞

输入面 欺骗痕迹 真正的恶搞

翘曲 + 对比

直播/恶搞 假恶搞
新的活面孔

图  2：
提出的欺骗跟踪解缠结网络  (STDN)  概述。

整体  GAN  训练策略。
生成器获取输入人脸，检测恶搞人脸，并将恶搞痕迹解开为多个元素的
组合。 通过恶搞痕迹， 我们可以从恶搞中重建现场对应物，并从现场合成新的恶搞。 为了纠正恶
搞合成过程中可能出现的几何差异， 我们提出了一种新的3D  变形层来将恶搞痕迹向目标面
变形。 我们部署了多尺度鉴别器来提高重建的现场和合成恶搞的保真度。 此外，
由于解开的欺
骗痕迹作为合成样本的基本事实， 合成的欺骗样本被进一步用于以有监督的方式训练生成
器。

总之，
这项工作的主要贡献如下：

‧  我们首次研究了通用人脸反欺骗的欺骗痕迹；  ‧我们提出了一种新颖的模型，
将欺
骗痕迹分解为分层表示
化；
‧  我们利用欺骗痕迹来合成新数据并加强训练；  ‧我们实现了  SOTA  反欺骗性能并提供了令
人信服的可视化。

2  相关工作

人脸反欺骗： 人脸反欺骗已经研究了十多年， 其发展大致可分为三个阶段。 早些年， 研究人员利用自发的人

类运动（例如眨眼和头部运动） 来检测简单的打印照片或静态重放攻击[25,35]。 然而， 当面对反击时， 例如
打印人脸切割眼睛区域， 以及回放人脸视频， 这些方法就会失败。 后来，研究人员更加关注现场和恶搞之间
的纹理差异， 这是恶搞媒体所固有的。 研究人员主要从人脸中提取手工制作的特征， 例如  LBP  
[6,17,18,33]、  HoG  [26,50]、  SIFT  [37]和  SURF  [7]，
并训练分类器来区分真人与恶搞， 如  SVM  和  
LDA。 最近， 面部反欺骗解决方案配备了深度学习技术， 并显示出比传统方法有显着改进。  [16,27,36,49]
中的方法训练深度神经网络来学习实时和恶搞之间的二元分类器。 在[4,29,31,41,51]  中，
提出了额外的监
督， 例如人脸深度图和  rPPG  信号， 以帮助网络学习更多可概括的特征。 随着最新方法在多个基准上实现饱
和性能， 研究人员开始探索更具挑战性的案例， 例如少镜头/零镜头面部反欺骗[31,38,54]， 面部反欺骗中
的域适应[41  ,42]  等。
Machine Translated by Google

4 Y.刘等人。

在这项工作中，我们的目标是解决一个有趣但非常具有挑战性的问题： 解开并可视化来自输入面
部的恶搞痕迹。相关工作[24,43,12]也采用GAN寻求估计不同的轨迹。
然而，他们将痕迹表述为低强度
噪声，仅限于打印和重放攻击， 无法提供令人信服的视觉结果。 相比之下，我们从广泛的欺骗攻击中探
索欺骗痕迹，用新颖的解缠结将它们可视化， 并在具有挑战性的情况下评估所提出的方法（例如， 零镜
头面部反欺骗）。

解缠结学习：
解缠结学习通常被用来更好地表示复杂的数据和特征。  DR‑GAN  [46,47]将人脸分解
为身份和姿态向量，用于姿态不变的人脸识别和视图合成。 同样在步态识别中，  [53]从输入步态视
频中解开外观、规范和姿势特征的表示。  3D  重建工作[28]还将  3D  人脸的表示分解为身份、
表情、
姿势、
反照率和照明。

为了解决图像合成的问题，  [15]使用  U‑Net  和变分自动编码器  (VAE)将图像分解为外观和形状。
与[28,46,53]  不
同，
我们打算解开具有不同尺度并包含几何信息的特征。
我们利用来自不同层的多个输出来表示不同尺度的特征，
并采用多尺度鉴别器来正确学习它们。
此外，
我们提出了一种新的变形层来处理解开和重建过程中的几何信息。

3  Spoof  Trace  Disentanglement  Network

3.1  问题表述

让活人脸的域表示为L⊂R N×N×3 N×N×3

和恶搞面孔为S⊂R ,
其中N是图像大小。
我们不仅要获得输入人脸的正确预测（实时与恶搞），
还要获得对恶搞痕迹的令人信服的估
计。
如果没有地面真实欺骗痕迹的指导，
我们的关键思想是找到将输入面转移到实时域的最小变化：
arg  min  ^  I

kI  −  ^IkF  st  I  ∈  (S  ∪  L)  和^  I  ∈  L， (1)

其中I是来自任一域的输入人脸，  ^  I是活动域中的目标人脸，  I  ‑  ^  I被定义为欺骗跟踪。
对于输入的活人脸Ilive，
欺骗痕迹应该是0 ，
因为它已经在L  中。
对于输入欺骗人脸Ispoof，
这种欺骗痕迹的L‑2正则化也是首选，
因为域转
移没有成对的解决方案，
我们希望恶搞的痕迹是有界的。
基于[24,37]，
欺骗跟踪可以根据尺度划分为多个元素：
全
局跟踪、
低级跟踪和高级跟踪。

全局轨迹，
例如色彩平衡偏差和范围偏差，
可以通过单个值有效地建模。
这里的颜色偏差仅指由恶搞媒体和捕获相
机之间的相互作用所产生的偏差，
并且模型预计会忽略那些与恶搞无关的颜色变化。
低级跟踪由平滑的内容模式
组成，
例如化妆描边和镜面高光。
高级痕迹包括锐利的图案和高频纹理，
例如蒙版边缘和莫尔图案。
表示为G(·)，
恶
搞跟踪解缠结被表述为从粗到细的恶搞效应累积：
Machine Translated by Google

关于通用人脸反欺骗的欺骗痕迹的解开 5

解缠结生成器 多尺度鉴别器

/2 /2 /2

/2 /2 /2 ×  2 ×  2 ×  2

1
/2

C
/2

/2 /2 /2

/64 年代，
乙
2
/2

早期欺骗回归器

/2 /2 /2
/2 米

图  3：建议的  STDN  架构。 除了最后一层，
每个conv和transpose  conv都是
与  Leaky  ReLU  层和批量归一化层连接。 /2表示下采样  2，×2  表示上采样  2。

G(I)  =  I  ‑  ^  I
=  I  ‑  ((1  ‑  s)I  ‑  b  ‑  bCcN  ‑  T) (2)
=  sI  +  b  +  bCcN  +  T，

1×1×3 L×L×3
其中s,  b  ∈  R 表示颜色范围偏差和平衡偏差，  C  ∈  R 表示

平滑的内容模式（L<N强制平滑），  b·c是调整大小操作，  T  ∈  R
N×N×3
是高级纹理图案。
与单层相比
表示[24]，
这种解开的表示{s,  b,  C,  T}可以大大提高
由于其从粗到细的过程，
解缠结质量并抑制不需要的伪影。
如图  3  所示，
Spoof  Trace  Disentanglement  Network  (STDN)  由一个
生成器和多尺度鉴别器。
它们被联合优化以解开
欺骗来自输入面的跟踪元素{s,  b,  C,  T} 。
在本节的其余部分，
我们
讨论生成器、
人脸重建和合成、
鉴别器的细节，
以及  STDN  中使用的训练步骤和损失。

3.2  解缠结生成器

欺骗跟踪解开是通过生成器实现的。解开
生成器采用编码器‑解码器作为骨干网络。编码器渐进式
256×256×3 32×32×96
对输入面I∈R  进行下采样 到一个潜在特征张量F  ∈R 通过

转换层。
解码器使用转置卷积层对特征张量F进行上采样
到输入的人脸大小。
为了正确解开每个欺骗性微量元素，我们利用
解码器结构的自然放大特性：  s、  b具有最低的空间分辨率
因此在解码器的一开始就被解开；  C被提取在
解码器中间，
大小为64；
相应地在最后一层估计T
解码器。
与  U‑Net  [39]  类似，
我们在编码器之间应用快捷连接
和解码器泄漏高频细节以进行高质量估计。
与生成器仅从源获取数据的典型  GAN  场景不同
域，
我们的生成器从源（欺骗）和目标（实时）域获取数据，
并且在区分两个域时需要高精度。虽然恶搞的痕迹
Machine Translated by Google

6 Y.刘等人。

这两个域之间应该有显着差异， 它们仅仅是分类的完美提示， 因为欺骗痕迹的强度因类型而异。 为此，

我们
还引入了早期欺骗回归器（ESR） 以增强生成器的判别性。  ESR  采用瓶颈特征F并输出0/1映射M∈R  
16×16，
其中0表示实时，  1表示欺骗。
此外，我们故意使编码器比解码器重得多， 即更多的通道和更深的
层。

这有利于分类，
因为  ESR  可以更好地利用为欺骗跟踪解开而学习的特征。

在测试阶段，
我们使用  ESR  输出的平均值和强度
用于分类的恶搞痕迹：
1
分数  =
2K2
α0  kMk1  2N2
+  kG(I)k1, (3)

其中α0是欺骗轨迹的权重，  K  =  16是M  的大小，  N  =  256是图像大小。

3.3  重构与合成

我们可以通过两种方式从欺骗痕迹中受益：

建：
从输入中获得活人脸对应物‧合成：
通过将从人脸图像Ii分离的欺骗痕迹G(Ii)应用到活人脸Ij来获得
^  I  =  I  ‑  G(I);  ‧重
新的欺骗人脸。

与原始的欺骗样本不同，合成的欺骗带有地面真实轨迹， 可以对生成器进行监督训练。但
是，
恶搞痕迹可能包含与原始恶搞面孔相关的形状相关内容。 将它们直接与具有不同形状或
姿势的活人脸相结合可能会导致对⻬不良和强烈的视觉不合理性。 因此，
欺骗痕迹在进行合
成之前应该经过几何校正。我们提出了一个在线3D  变形层来纠正形状差异。

Online  3D  Warping  Layer首先，
人脸  i  的恶搞痕迹可以表示为：

Gi  =  G(Ii)[p0 ], (4)

256×256×2
其中p0  =  {(0,  0),(0,  1), ...,(255,  255)}  ∈  R  Ii 。
从面  i  到 需要枚举像素位置以指示
256×256×2
面  j为了扭曲欺骗轨迹，
  的偏移值。 扭曲的迹线可以表示为： 一个密集的偏移量Δpi→j  ∈  R

Gi→j  =  G(Ii)[p0  +  Δpi→j ]， (5)

由于偏移量Δpi→j通常由小数组成， 因此我们实施双线性插值来对小数像素位置进行
采样。
为了获得偏移量Δpi→j ，  [11,29]中的先前方法分别使用离线人脸交换和预先
计算的密集偏移量， 它们都是不可微分的并且是内存密集型的。 相比之下， 我们的翘曲
层既可微分又具有计算效率， 这对于在训练中使用它是必要的。 在数据准备过程中， 我
们使用[30]拟合3DMM  模型并提取每个面的  Q  个选定顶点的  2D  位置：

s  =  {(x0,  y0),(x1,  y1), ...,(xN ,  yN )}  ∈  R  Q×2 , (6)
Machine Translated by Google

关于通用人脸反欺骗的欺骗痕迹的解开 7

欺骗痕迹 密集偏移 扭曲的痕迹 活脸

# Δ #→% #→% %
(3,5)

(‑6,4)
(0,6)
（一个）

(1,1) 欺骗数据%  +  
(1,1)  
(8,7)   #→%
(‑2,‑4)

(3,5)
插值
(‑6,4)
(0,6)
(二)
(3,0) (1,1)

(8,7)

(‑2,‑4)

3DMM Δ  
#→% 德劳内
配件 稀疏偏移 三角测量
图  4：  3D  翘曲流水线。  (a)  给定相应的密集偏移， 我们扭曲欺骗轨迹并将它们添加到目标活人脸以创
建新的欺骗。 例如，
偏移量为(3,  5)的像素  (x,  y)在新图像中被扭曲为像素  (x  +  3,  y  +  5) 。  (b)  为了从选定
的人脸形状顶点的备用偏移量中获得密集的偏移量， 采用了德劳内三角插值法。

然后可以在面i和j之间计算相应顶点上的稀疏偏移量为Δsi→j  =  sj  ‑  si 。
我们选择Q  =  140个顶点来覆盖面部区域，
这样它们就可以表示由于姿势和表情而导致的非刚性变形。 为了将稀疏偏移Δsi→j转换为密集偏移Δpi→j ，
我们应
用三角插值法：  Δpi→j  =  Tri(p0 ,si ,  Δsi→j ),

(7)

其中Tri(·)是基于Delaunay三角剖分的插值操作，
由于翘曲面上的像素值是三角剖分顶点像素值的线性组合，
所以
整个过程是可微的。
这个过程如图  4  所示。

创建“更难”
的样本如上所述，
可以利用合成的欺骗来启用生成器的监督学习。
解纠缠表示{s,  b,  C,  T}的另一个优点
是我们可以通过调整这些元素来操纵欺骗痕迹，
例如减少或放大任何特定元素。
在减少{s,  b,  C,  T}中的一个或几
个元素的同时，
合成的恶搞变得“较少恶搞”，
因此由于恶搞痕迹被削弱，
因此更接近真人脸。
这样的欺骗数据可以
被视为更难的样本，
并且可能有利于生成器的学习。

例如，
在从重放欺骗跟踪中去除颜色失真s时，
可能会强制生成器依赖其他元素，
例如高级纹理图案。
在这项工作中，
我们在合成一张新的恶搞面孔时，
将{s,  b,  C,  T}中的一个元素随机设置为零。
与其他方法相比，
例如亮度和对比度变
化[32]、
反射和模糊效果[51]或3D  失真[21]，
我们的方法可以引入更真实和有效的数据样本，
如第  2  节所示。  4.

3.4  多尺度判别器

受[48]  的启发，
我们在  GAN  架构中采用了三个不同分辨率（即256、
128和64）
的判别器  D1、  D2和D3 。
原始大小
的人脸被发送到D1，
以2的比例调整大小并发送到D2，
并以4的比例调整大小并发送到D3。
Machine Translated by Google

8 Y.刘等人。

D1， 以最高比例工作， 专注于精细的纹理细节。  D2， 在中间尺度上工作，更多地关注C中的内容模式。  

D3， 在最低尺度上工作， 关注全局元素， 因为C和T中的高频细节可能会通过调整大小而被删除。 对于每个
鉴别器， 我们采用  PatchGAN  [23]  的结构，它本质上是一个全卷积网络。 全卷积网络被证明不仅可以有
效地合成高质量的图像[23,48]， 还可以解决人脸反欺骗问题[29]。 具体来说，每个鉴别器由7个卷积层和
3  个下采样层组成。 它输出一个2  通道映射， 其中每个通道代表一个域的输出（即实时和恶搞）。 第一个
通道将重建的实时样本与真实的实时样本进行比较， 而第二个通道将合成的恶搞样本与真实的恶搞样本
进行比较。

3.5  训练步骤和损失函数

我们在三个训练步骤中使用了多个损失函数。 我们将首先介绍它们， 然后介绍它们在训练步骤中的使用方

式。
ESR  loss：
对于真人脸，  M应该为零， 对于恶搞脸和合成恶搞脸， M  应该是  1。 我们对这种损失应用  L‑1  
范数：
1
LESR  = (Ei L[kMik1 ]  +  Ei S∪S^[kMi  −  1k1 ]), (8)
K2

其中  S^  表示合成恶搞面的域， K  =  16  是  M  的大小。
G的对抗性损失： 我们将  LSGAN  [34]用于重建的实时和合成大小的恶搞。
它将重建的活人脸推到域L，
将
合成的恶搞人脸推到域  S：  {Ei S  [(D1

2 2
LG  =  X n (Ii  ‑  Gi)  ‑1) ]  +  Ei L,  j S  [(D2  
n  (Ii  +  Gj  →  i)  ‑  1) ]}, (9)
n=1,2,3

其中D1   n
和D2 n 表示鉴别器  Dn  的第一和第二通道。
Adversarial  loss  for  D：
对抗性损失推动鉴别器区分真实现场与重建现场，
以及真实恶搞与合成恶搞：

2 2
LD  =  X {Ei L[(D1 n (二)‑1) ]+Ei S  [(D2 .]n (二)‑1) ]
n=1,2,3 (10)
+Ei S  [(D1 n (Ii  ‑  Gi  (x)))  2 ]  +  Ei L,  j S  [D2  n  (Ii  +  Gj  →  i))  2 ]}。

正则化器损失： 在等式中。  1， 该任务在满足特定领域条件的同时规范了欺骗痕迹的强度。

这种正则化损
失表示为：]  +  Ei S  [kG(Ii)k
2 2
LR  =  β  Ex L[kG(Ii)k 2 2 ], (11)

其中  β  >  1  是进一步将活人脸的痕迹压缩为零的权重。
像素丢失： 合成的欺骗数据带有真实的欺骗痕迹。 因此，
我们可以为生成器启用受监督的像素损失，
以解
开添加到实时面部的确切欺骗痕迹：

LP  =  Ei L,j S  [kG(dIi  +  Gj→ie)  −  dGj→iek1 ], (12)

Machine Translated by Google

关于通用人脸反欺骗的欺骗痕迹的解开 9

& () 不 不

/(#) & () 坡度 坡度

{ , , , } 0 0

& () (#) ( & ()) 翘曲 + *+,,‑ /(#) *+,,‑

0

*+,,‑ (#) (0  *+,,‑) ‑ =

3 :;3 5 4

{ , , , } 0 0
<

*+,,‑ (#) ( *+,,‑) ‑ & () /(#) & ()

*+,,‑ :;3

/(#) *+,,‑
*+,,‑

步骤1 第2步 第  3  步

图  5：  STDN  的三个训练步骤。
每个小批量包含相同数量的实时和恶搞样本。

其中d·e是stop_gradient操作。
在这种损失中，我们将迹线Gj→i视为  ground  truth，  
stop_gradient操作可以防止改变Gj→i以最小化损失。

训练步骤和总损失： 如图  5  所示，
每个  mini‑batch  有3  个训练步骤：
生成器步骤、
鉴别器
步骤和额外监督步骤。 在生成器步骤中， 活面孔Ilive和恶搞面孔Ispoof被馈送到生成器
G(·)以解开恶搞痕迹。
欺骗痕迹用于重建现场对应物^Ilive并合成新的欺骗^Ispoof。 生成器根据
对抗性损失LG、  ESR  损失LESR和正则化器损失LR  进行更新：

L  =  α1LG  +  α2LESR  +  α3LR。 (13)

对于鉴别器步骤，  Ilive、  Ispoof、  ^Ilive和^Ispoof被输入鉴别器Dn(·)，
n  =  {1,  2,  3}。
鉴别器受到对抗性损失LD的监督， 以与生成器竞争。 对于额外
的监督步骤，  Ilive和 Ispoof被输入到带有地面实况标签和跟踪的生成器
中， 以启用像素损失LP和  ESR  损失LESR：  L  =  α4LESR  +  α5LP  (14)
,

其中α1‑α5是平衡多任务训练的权重。需要注意的是， 在额外的监督步骤中，
我们发送带有 Ispoof的原始活人脸Ilive用于平衡小批量，
这在计算批量归
一化层中的移动平均值时很重要。 我们在每个小批量迭代中执行所有3  个步
骤，
但将鉴别器的学习率降低一半。

4个实验
在本节中，
我们首先介绍实验设置，然后介绍已知欺骗和未知欺骗场景中的性能。
接下来，我们通过执行
欺骗介质分类来定量评估欺骗痕迹，并对所提出方法中的每个设计进行消融研究。最后，
我们提供了恶搞
跟踪解缠结和新恶搞合成的可视化结果。

4.1  实验装置

数据库我们在三个主要数据库上进行实验：
Oulu‑NPU  [8]、
SiW  [29]、
Machine Translated by Google

10 Y.刘等人。

协议方法 APCER  (%)  BPCER  (%)  宏基  (%)
STASN[51]  1.2  1.9 2.5  
辅助  [29]  1.6  1.6 1.6   协议方法 APCER  (%)  BPCER  (%)  宏基  (%)
1
去欺骗  [24]  1.2  1.5 1.7   辅助[29]  3.6  3.6 3.6
我们的0.8  1.1 1.3 ‑ ‑
STASN[51]  1.0
1
辅助  [29]  2.7  GRADIANT   2.7   2.7 元  FAS‑DR[54]  0.5  0.5 0.5  
[8]  3.1  STASN[51]  4.2  我 1.9   2.5 我们的0.0  0.0 0.0
2
们的2.3 0.3   2.2 辅助[29]  0.6  ±  0.7  0.6  ±  0.7  0.6  ±  0.7
1.6 1.9 元  FAS‑DR[54]  0.3  ±  0.3  0.3  ±  0.3  0.3  ±  0.3
2
去欺骗  [24]  4.0  ±  1.8  3.8  ±  1.2  3.6  ±  1.6 STASN[51]  0.3  ±  0.1‑ ‑

辅助  [29]  2.7  ±  1.3  3.1  ±  1.7  2.9  ±  1.5 我们的0.0  ±  0.0  0.0  ±  0.0  0.0  ±  0.0
3 ‑ ‑
STASN[51]  4.7  ±  3.9  0.9  ±  1.2  2.8  ±  1.6 STASN[51]  12.1  ±  1.5
我们的1.6  ±  1.6  4.0  ±  5.4  2.8  ±  3.3 辅助[29]  8.3  ±  3.8  8.3  ±  3.8  8.3  ±  3.8
3
辅助  [29]  9.3  ±  5.6  10.4  ±  6.0  9.5  ±  6.0 元  FAS‑DR[54]  8.0  ±  5.0  7.4  ±  5.7  7.7  ±  5.3
STASN[51]  6.7  ±  10.6  8.3  ±  8.4  7.5  ±  4.7 我们的  8.3  ±  3.3  7.5  ±  3.3  7.9  ±  3.3
4
去欺骗  [24]  5.1  ±  6.3  6.1  ±  5.1  5.6  ±  5.7
我们的2.3  ±  3.6  5.2  ±  5.4  3.8  ±  4.2 (二)

（一个）

3D蒙版 化妆指标 部分攻击

(%)  重放打印整体半硅。
反式。
纸曼。
鄂毕。
我是。
因为有趣。 纸片。
纸

宏碁(%)
辅助[29]  5.1  我们的3.2 5.0  5.0  10.2  5.0  9.8  6.3  19.6  5.0  26.5  5.5  3.1  3.0  9.0  3.0  3.4  4.7  3.0  3.0  24.5   5.2   5.0  6.3
4.1 3.7 3.0  4.1
荣誉（％）
辅助[29]  4.7  我们的2.1 0.0  1.6  10.5  4.6  10.0  6.4  12.7  0.0  19.6  7.2  2.2  0.0  7.2  0.1  3.9  4.8  0.0  0.0  19.6   7.5   0.0  6.6
5.3  TDR@FDR=0.5(%) 5.4 0.0  4.8

我们的 90.1  76.1  80.7  71.5  62.3  74.4  85.0  100.0  100.0  33.8  49.6  30.6 97.7  70.4

（C）
表  1：
已知欺骗检测：
(a)  OULU‑NPU  (b)  SiW  (c)  SiW‑M  协议  I。

和  SiW‑M  [31]。  Oulu‑NPU  和  SiW  包括打印/重放攻击，
而  SiW‑M  包括
13种恶搞类型。 我们遵循所有测试协议并与  SOTA  方法进行比较。
与大多数先前的工作类似， 我们仅使用人脸区域进行训练和测试。
评估指标在这项工作中使用了两个标准指标进行比较：  EER
和  APCER/BPCER/ACER。  EER  描述了理论性能并预先确定了决策的阈值。  APCER/BPCER/
ACER[22]描述了
给定阈值的性能。 对于  EER/ACER，
越低越好。 我们
还报告给定错误检测率  (FDR)  下的真实检测率  (TDR)。 这个
度量标准描述了对实时错误的严格容忍度的欺骗检测率， 即
广泛用于评估实际应用中的系统[2]。 在这项工作中， 我们报告
FDR  =  0.5%  时的  TDR。
对于  TDR，越高越好。
参数设置STDN  在  Tensorflow  中实现， 初始学习率为
1e‑4。我们总共训练了150,  000次迭代， 批大小为8， 并减少了学习
以每45,  000次迭代10的比率计算。 我们用[0,  0.02]初始化权重
正态分布。  {a1,  a2,  a3,  a4,  a5,  b}设置为{1,  100,  1e‑3,  50,  1,  1e4}。  a0
是根据训练或验证集经验确定的。 我们使用开源人脸
对⻬  [10]  和  3DMM  拟合  [30]  以裁剪面部并提供  140  个地标。

4.2  已知欺骗类型的反欺骗

Oulu‑NPU  [8]因其高质量而成为常用的人脸反欺骗基准
和具有挑战性的测试。 显示在选项卡中。
如图  1(a)  所示，
我们的方法实现了最佳性能
在所有四个协议中。
具体来说，
我们展示了协议的显着改进
Machine Translated by Google

关于通用人脸反欺骗的欺骗痕迹的解开 11

3D蒙版 化妆品 部分攻击

方法 重放打印平均半硅。
反式。
纸曼。
鄂毕。 我是。乐趣。
纸片。
纸

阿普塞尔(%)
LBP+SVM  [8]  19.1  15.4  40.8  20.3  70.3  0.0  4.6  辅助[29]  23.7  7.3  27.7   96.9  35.3  11.3  53.3  58.5  100.0  18.0   0.6  32.8  ±  29.8
18.2  97.8  8.3  16.2  DTL  [31] 16.3  91.8  72.2  73.2  13.2  12.4  17.0   0.4  38.3  ±  37.4
1.0   0.0  0.7  24.5  58.6  0.5  3.8 17.0  96.1  0.0  21.8  14.4  6.5 0.2  17.1  ±  23.3
我们的 1.6  0.0  0.5  7.2  9.7  0.5  0.0 0.0  12.2  ±  26.1
BPCER(%)
LBP+SVM  [8]  22.1  21.5  21.9  21.4  20.7  23.1  22.9  21.7  12.5  22.2  18.4  20.0  Auxiliary[29]  10.1  6.5  10.9  11.6  6.2  7.8   22.9  21.0  ±  2.9
9.3  11.6  9.3  7.1  6.2  8.8  DTL  [31]  18.6  11.9  29.3  12.8  13.4  8.5  23.0  11.5  9.6  16.0  
18.6  
21.5  
128.1  
2.6我们的  
8.1  13.4  
14.0  
10.3  
14.6  
9.2  13.6  
7.2   10.3  8.9  ±  2.0
27.0  35.5 16.8  16.6  ±  6.2
11.2  16.2  ±  7.6
宏碁(%)
LBP+SVM  [8]  20.6  18.4  31.3  21.4  45.5  11.6  13.8  59.3  23.9  16.7  35.9  39.2  辅助[29]  16.8  6.9  19.3  14.9  52.1  8.0  12.8   11.7  26.9  ±  14.5
55.8  13.7  11.7  31.4  [4] 5.3  23.6  ±  18.5
9.8  6.0  15.0  18.7  36.0  4.5  13.4  48.1  11.4  14.2  19.3  19.8  8.5  16.8  ±  11.1
我们的 7.8  7.3  7.1  12.9  13.9  4.3  6.7 53.2  4.6  19.5  20.7  21.0 5.6  14.2  ±  13.2
荣誉（％）
LBP+SVM  [8]  20.8  18.6  36.3  21.4  37.2  7.5  14.1  51.2  19.8  16.1  34.4  33.0  7.9  24.5  ±  12.9
辅助[29]  14.0  4.3  11.6  12.4  24.6  7.8  10.0  72.3  10.1  9.4  21.4  18.6  4.0  17.0  ±  17.7
DTL[31]  50.2  10.1  110.0  
3.2  129.8  
.1  124.4  
0.5  1熊
8.6  
市  236.5  
5.4  50.7  
.0  91.6  
7.6  
9.3   3.8  
280.8  
21.0   .4  1T3.8  
14.5  
DR@FDR=0.5(%) 8.8  16.1  ±  12.2
5.3  4.4 1.6  12.0  ±  10.0

我们的 45.0  40.5  45.7  36.7  11.7  40.9  74.0  0.0  67.5  16.0  13.4  9.4 62.8  35.7  ±  23.9

表  2：  SiW‑M  协议  II  的评估：
未知欺骗检测。
粗体表示最佳
在每个协议中得分。
红色表示我们的方法比  SOTA  改进了  50%  以上的协议。

1和协议4，
相对于最好的先前工作，
将  ACER  降低了30%和32% 。
但是在协议3和协议4  中，
测试相机6的性能要差很多
低于摄像头1‑5：
摄像头6的  ACER分别为9.5%和8.6%，
而
其他相机的平均  ACER分别为1.7%和3.1% 。
和....相比
其他相机，我们注意到相机6具有更强的传感器噪音， STDN  识别
它们作为未知的欺骗痕迹，导致  BPCER  增加。
分离传感器
来自欺骗痕迹的噪音可能是未来的一个重要研究课题。
SiW  [29]是另一个最近的高质量数据库。 它包括更少的捕获相机
但更多的恶搞媒介和环境变化， 例如姿势、 光照和
表达。 三种协议的比较如表所示。  1(b)。
我们表现出色
以前的工作在前两个协议上， 并且在
协议3。
协议3旨在测试未知欺骗检测的性能，其中
该模型接受了一种欺骗攻击（打印或重放）
的训练，并在另一种攻击上进行了测试。
作为
从图  8  可以看出，
print  和  replay  的痕迹明显不同，
这
会阻止模型很好地泛化。
SiW‑M  [31]包含多种恶搞类型，
包括打印、
回放、  3D  蒙版、
化妆和偏攻击。这使我们能够对
提出的具有不同欺骗攻击的方法。为了使用  SiW‑M，
我们随机拆分
数据以60%和40%的比例进入训练/测试集，
结果如表  1  所示。  1(c)。
与最好的反欺骗模型之一相比[29]，
我们的方法在所有方面都优于
恶搞类型以及整体性能， 彰显了
我们对已知欺骗攻击的反欺骗。
Machine Translated by Google

12 Y.刘等人。

预测
预测 实时打印  1  打印  2  回放  1  回放  2
现场打印 重播 标签
标签
居住 56(‑4)  1(+1)  1(+1)  1(+1)  1(+1)
居住 60(+1)  0(‑1)  0 打印1 0  43(+2)  11(+9)  3(−8)  3(−3)
打印 打印2 9(‑25)  48(+37)  1(‑8)  2(‑4)
3(+3)  108(+20)  9(‑23)
重播1 0  1(‑9)  2(‑1)  3(+3)  51(+38)  3(‑28)
重播 1(‑12)  11(+3)  108(+9) 重播2 1(‑7)  2(‑5)  2(+2)  3(‑3)  52(+13)

表  3：
基于欺骗痕迹的欺骗媒体分类的混淆矩阵。
左边的桌子
是3  类分类，
右边是5  类分类。
结果与
以前的方法[24]。
绿色代表对[24]的改进。
红色代表性能下降。

方法 APCER  (%)  BPCER  (%)  宏基  (%)

ESR  0.8  ESR+GAN  1.5   4.3   2.6

ESR+D‑GAN  0.8  ESR+GAN+LP  
0.8   2.7   2.1
ESR+D‑GAN+LP  0.8 2.4   1.6
8.2   4.5

（一个） (二) （C） (d)

1.3 1.1

图  6：
现场重建比较：
（a）
现场， 表  4：
我们方法中组件的定量消融研究。
(b)  恶搞，
(c)  ESR+D‑GAN，
(d)  ESR+GAN。

4.3  未知欺骗类型的反欺骗

反欺骗模型的另一个重要方面是泛化到未知/未见。
SiW‑M  自带测试协议来评估未知攻击的性能
检测。 显示在选项卡中。  2、STDN较以往取得显着提升
最佳模型在整体  EER  上相对提高了24.8% ，
在整体  ACER  上提高了15.5% 。
这一点尤其值得注意，
因为  DTL  是专门为检测
未知的欺骗类型，而我们提出的方法在已知和未知中都大放异彩
欺骗检测。具体来说，我们降低了透明面罩、 人体模型头、
冒充化妆和偏纸攻击分别为45.3%、  54.2%、  100.0%，
分别为81.8% 。
其中，
迷惑妆容是最具挑战性的，
其中
我们预测几乎所有的恶搞样本都是实时的。
这是因为这样的妆容
看起来与现场面孔非常相似，
但与任何其他恶搞类型不同。
一旦我们获得了一些样本，
我们的模型就可以快速识别出
眉毛和脸颊，
并成功检测到攻击（表  1（c）
中的  0% ）。
然而，
随着
在  FDR=  0.5%时TDR=  35.7% ，
所提出的方法仍远未适用于
处理未知欺骗类型时的实践，
这值得未来研究。

4.4  欺骗痕迹分类

为了定量评估恶搞痕迹解缠结，
我们执行恶搞介质
对解开的欺骗痕迹进行分类并报告分类准确性。
这
欺骗痕迹应该包含欺骗媒介特定的信息，
以便它们可以被使用
用于聚类而不看脸。在  STDN  仅使用二进制完成训练后
标签，但不是欺骗类型标签， 我们修复了  STDN  并应用了一个简单的  CNN（即  AlexNet）
在估计的恶搞痕迹上做一个有监督的恶搞介质分类。
我们跟随
Oulu‑NPU  Protocol  1中[24]中相同的测试协议，
结果如图所示
在选项卡中。  3.我们的3‑class模型和5‑class模型可以达到分类精度
分别为92.0%和83.3% 。
与之前的方法[24]相比，
我们展示了一个
3  级模型提高10% ，  5级模型提高29% 。
此外，
Machine Translated by Google

关于通用人脸反欺骗的欺骗痕迹的解开 13

## ##

输入 { , } G（ ） 输入 { , } G（ ）

s  [0.0,  0.0,  0.0] s  [0.1,  0.2,  0.2]
（一个）
b  [0,  0,  0] （H） b  [6,  3,  2]

s  [0.1,  0.2,  0.3] s  [0.1,  0.1,  0.1]
(二) b  [11,  9,  6] （一世）
b  [2,  3,  4]

s  [0.5,  0.5,  0.5] s  [0.0,  0.0,  0.0]
（C） b  [4,  2,  5] (j) b  [1,  2,  3]

s  [0.1,  0.1,  0.1] s  [0.1,  0.0,  0.0]
(d) b  [‑1,  0,  0] (k) b  [3,  3,  3]

s  [0.0,  0.0,  0.0] s  [0.1,  0.1,  0.1]
（和） b  [‑2,  ‑2,  ‑0] (l) b  [2,  2,  2]

s  [0.0,  0.0,  0.0] s  [0.1,  0.0,  0.1]
（F） b  [2,  2,  0] (男) b  [3,  2,  2]

s  [0.1,  0.0,  0.1] s  [0.0,  0.1,  0.1]
（G） (n)
b  [1,  1,  1] b  [2,  3,  3]

图  7：  SiW‑M  上的欺骗痕迹解缠结示例。  (a)‑(n)  项是实时、 打印、
重播、
半面罩、 硅胶面罩、 纸面罩、 透明面罩、迷彩妆、冒充
化妆， 化妆， 纸眼镜， 偏纸， 搞笑眼镜，
模特头。
第一列是输入人脸， 第2‑4列是恶搞的微量元素{s,  b,  C,  T}，
第5列是整体恶搞痕迹， 最后一列是重构的live。

我们在原始图像上训练相同的  CNN， 而不是估计的欺骗痕迹
同样的恶搞中分类任务， 分类准确率只能达到
86.3%  （三级）
和80.6%  （五级）。
这进一步证明了估计的痕迹
确实包含重要信息以区分不同的欺骗媒介。

4.5  消融研究
在本节中，
我们展示了我们提出的方法的每个设计的重要性
Oulu‑NPU  协议1.  我们的基线是具有  ESR（表示为  ESR）
的编码器，
它
是一个传统的回归模型。 为了验证  GAN  训练的有效性， 我们
使用  GAN  报告  ESR  的结果。 然而， 这个模型的生成器输出
是具有输入大小的单层欺骗跟踪， 而不是建议的四个元素。
为了证明解开的4  元素欺骗跟踪的有效性， 我们更改
提出的{s,  b,  C,  T}的单层， 表示为ESR+D‑GAN。此外，
我们通过在两者上启用像素损失LP来评估训练步骤3的效果
ESR+GAN  和  ESR+D‑GAN。 我们的最终方法表示为  ESR+D‑GAN+LP 。
标签。 图4显示了比较结果。 基线模型可以达到不错的
宏碁业绩2.6%。 在baseline中加入GAN可以提高ACER
从2.6%到2.1%， 而加入  D‑GAN  可以提高到1.6%。此外，ESR+D  GAN  可以产生比  ESR+GAN  
更高质量的恶搞痕迹， 如图所示
图  6  此外，如果在训练步骤3  中使用了质量较差的欺骗样本， 则
将错误率从2.1%提高到4.5%。 相反， 在喂食时
高质量的合成恶搞样本到生成器， 我们可以实现显着
从  1.6%  提高到  1.1%， 这是所提出方法的性能。
Machine Translated by Google

14 Y.刘等人。

（一个）

(二)

（C）

(d)

图  8：
欺骗数据合成示例。  (a)  源欺骗样本Ii。  (b)  解开的恶搞痕迹G(Ii)。  (c)  目标活脸Ij 。  (d)  合成的欺骗Ij  +  Gi→j 。

4.6  可视化

如图  7  所示，我们成功地解开了各种恶搞痕迹。 例如，
在打印/重放攻击中会出现强烈的颜色失真（图  7b‑
c）。重放攻击中的莫尔图案被很好地检测到（图  7c）。 对于化妆攻击（图  7h‑j），
可以清楚地检测到假眉
毛、口红、 人造蜡和脸颊阴影。 纸制面具（图  7f）
中的褶皱和边缘被很好地检测到。 尽管我们的方法不能为一
些恶搞类型（例如， 图  7m  中的滑稽眼镜）提供令人信服的估计， 但该模型有效地关注正确的区域并解开部
分痕迹。

此外，
我们展示了一些使用图  8  中解开的恶搞痕迹进行恶搞合成的示例。 恶搞痕迹可以精确地转
移到新的人脸上，
而不会改变目标人脸的身份。 由于所提出的3D  变形层，
源欺骗轨迹和目标面部之间
的几何差异在合成过程中得到了纠正。 这两个数字表明，我们的方法在视觉上解开了有助于面对反欺
骗的令人信服的欺骗痕迹。

5。
结论

这项工作提出了一个网络（STDN）来解决从面部分离恶搞痕迹的挑战性问题。通过恶搞痕迹， 我们
重建了活面孔并合成了新的恶搞。 为了纠正合成中的几何差异，我们提出了一个3D  翘曲层来变形轨
迹。
解开不仅提高了已知和未知反欺骗的  SOTA，
而且还提供了视觉证据来支持模型的决策。

致谢本研究基于国家情报总监办公室  (ODNI)、 情报高级研究项目活动  (IARPA)  通过  IARPA  研发合
同编号2017‑17020200004  支持的工作。
此处包含的观点和结论是作者的观点和结论， 不应被解释
为必然代表ODNI、 IARPA  或美国政府明示或暗示的官方政策或认可。美国政府被授权为政府目的复
制和分发再版， 尽管其上有任何版权注释。
Machine Translated by Google

参考

可解释的人工智能

研究计划/odin
Machine Translated by Google

16 Y.刘等人。

23.  Isola,  P.,  Zhu,  JY,  Zhou,  T.,  Efros,  AA：
带有条件对抗网络的图像到图像转换。
在：CVPR。  IEEE  (2017)

24.  Jourabloo,  A.,  Liu,  Y.,  Liu,  X.：
人脸去欺骗：
通过噪声建模进行反欺骗。
在：ECCV。
施普林格  (2018)
25.  Kollreider,  K.,  Fronthaler,  H.,  Faraj,  MI,  Bigun,  J.：
实时人脸检测和运动
分析与活性评估中的应用。 国际电影节  (2007)
¨
26.  Komulainen,  J.、
Hadid,  A.、
Pietikainen,  M.：基于上下文的人脸反欺骗。
在：BTAS。  IEEE
(2013)
27.  Li,  L.,  Feng,  X.,  Boulkenafet,  Z.,  Xia,  Z.,  Li,  M.,  Hadid,  A.：
使用部分卷积神经网络的原始人脸反欺骗方法。
在：第六届图
像处理理论、
工具和应用国际会议(IPTA)。  IEEE  (2016)

28.  Liu,  F.,  Zeng,  D.,  Zhao,  Q.,  Liu,  X.：
联合面部的  3D  面部形状中的解开特征
重建和认可。
在：CVPR。  IEEE  (2018)
29.  Liu,  Y.,  Jourabloo,  A.,  Liu,  X.：
学习面部反欺骗的深度模型：
二进制或
辅助监督。
在：CVPR。  IEEE  (2018)
30.  Liu,  Y.、
Jourabloo,  A.、
Ren,  W.、
Liu,  X.：
密集面部对⻬。
在：ICCV  研讨会。  IEEE
(2017)
31.  Liu,  Y.、
Stehouwer,  J.、
Jourabloo,  A.、
Liu,  X.：
零样本人脸抗的深度树学习
欺骗。
在：CVPR。  IEEE  (2019)
32.  Liu,  Y.、
Stehouwer,  J.、
Jourabloo,  A.、
Liu,  X.：
移动端面部的演示攻击检测
电话。 自拍生物识别  (2019)
¨ ¨
33.  Ma¨att  ¨  a,  J.,  Hadid,  A.,  Pietik  ainen,  M.：
使用微纹理分析从单个图像中进行人脸欺骗检测。
在：IJCB。  IEEE  (2011)

34.  Mao,  X.,  Li,  Q.,  Xie,  H.,  Lau,  RY,  Wang,  Z.,  Paul  Smolley,  S.：
最小二乘生成对抗网络。
在：ICCV。  IEEE  (2017)

35.  Pan,  G.、
Sun,  L.、
Wu,  Z.、
Lao,  S.：
通用网络摄像头人脸识别中基于  Eyeblink  的反欺骗。
在：ICCV。  IEEE  (2007)

36.  Patel,  K.,  Han,  H.,  Jain,  AK：
具有鲁棒特征表示的跨数据库人脸反欺骗
站。
在：CCBR。
施普林格  (2016)
37.  Patel,  K.,  Han,  H.,  Jain,  AK：
安全面部解锁：
智能手机上的欺骗检测。  TIFS
(2016)
38.  Qin,  Y.,  Zhao,  C.,  Zhu,  X.,  Wang,  Z.,  Yu,  Z.,  Fu,  T.,  Zhou,  F.,  Shi,  J.,  Lei,  Z.：
学习元模型用于零和少数人脸反欺骗。  
arXiv  预印本  arXiv:1904.12490  (2019)
39.  Ronneberger,  O.,  Fischer,  P.,  Brox,  T.：
U‑net：
用于生物医学图像分割的卷积网络。
在：医学图像计算和计算机辅助干预国
际会议。
施普林格  (2015)

40.  Schuckers,  SA：
欺骗和反欺骗措施。
信息安全技术报告
(2002)
41.  Shao,  R.,  Lan,  X.,  Li,  J.,  Yuen,  PC：
用于人脸呈现攻击检测的多对抗判别深度域泛化。
在：CVPR。  IEEE  (2019)

42.  Shao,  R.,  Lan,  X.,  Yuen,  PC：
正则化细粒度元人脸反欺骗。  arXiv  预印本arXiv:1911.10771  (2019)

43.  Stehouwer,  J.,  Jourabloo,  A.,  Liu,  Y.,  Liu,  X.：
噪声建模、
合成和分类
通用对象反欺骗。
在：CVPR。  IEEE  (2020)
44.  Szegedy,  C.、
Zaremba,  W.、
Sutskever,  I.、
Bruna,  J.、
Erhan,  D.、
Goodfellow,  I.、
Fergus,  R.：
神经网络的有趣特性。  
arXiv  预印本  arXiv:1312.6199  (2013)
45.  Thies,  J.、
Zollhofer,  M.、
Stamminger,  M.、
Theobalt,  C.、
Nießner,  M.：
Face2face：
实时
RGB  视频的面部捕捉和重演。
在：CVPR。  IEEE  (2016)
46.  Tran,  L.、
Yin,  X.、
Liu,  X.：
用于姿势不变人脸识别的分离表示学习  GAN 。
在：CVPR。  IEEE  (2017)
Machine Translated by Google