[論文レビュー] A Survey on Physical Adversarial Attack in Computer Vision

Donghua Wang, Wen Yao+3 more|arXiv (Cornell University)|Sep 28, 2022

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本サーベイは、コンピュータビジョンにおける物理的 adversarial 攻撃について包括的かつ最新の分析を提供し、2016年から2023年までの95件の研究を、独創的な五段階分類法（被攻撃モデル選定、問題モデリング、最適化、デプロイメント、評価）に分類している。実世界の条件下における耐性の課題を特定し、より効果的かつ再現可能なかつての物理的攻撃のための今後の研究方向性を提案している。

ABSTRACT

Over the past decade, deep learning has revolutionized conventional tasks that rely on hand-craft feature extraction with its strong feature learning capability, leading to substantial enhancements in traditional tasks. However, deep neural networks (DNNs) have been demonstrated to be vulnerable to adversarial examples crafted by malicious tiny noise, which is imperceptible to human observers but can make DNNs output the wrong result. Existing adversarial attacks can be categorized into digital and physical adversarial attacks. The former is designed to pursue strong attack performance in lab environments while hardly remaining effective when applied to the physical world. In contrast, the latter focus on developing physical deployable attacks, thus exhibiting more robustness in complex physical environmental conditions. Recently, with the increasing deployment of the DNN-based system in the real world, strengthening the robustness of these systems is an emergency, while exploring physical adversarial attacks exhaustively is the precondition. To this end, this paper reviews the evolution of physical adversarial attacks against DNN-based computer vision tasks, expecting to provide beneficial information for developing stronger physical adversarial attacks. Specifically, we first proposed a taxonomy to categorize the current physical adversarial attacks and grouped them. Then, we discuss the existing physical attacks and focus on the technique for improving the robustness of physical attacks under complex physical environmental conditions. Finally, we discuss the issues of the current physical adversarial attacks to be solved and give promising directions.

研究の動機と目的

• DNN が実世界のシステムにますます広く導入される中で、耐性のある物理的 adversarial 攻撃の需要が高まっているのに対応するため。
• 画像認識、物体検出、その他のタスクにわたる物理的 adversarial 攻撃の体系的な分類法を提供するため。
• 評価における重要なギャップ、特に標準化されたベンチマークや動的テスト基準の欠如を特定するため。
• adversarial 例の二重用途の可能性を検討するため、すなわち、複雑な環境下でのモデルの耐性と安定性の向上に寄与する点。

提案手法

• 物理的攻撃の五段階分類法（被攻撃モデル、問題モデリング、最適化、デプロイメント、評価）を提唱した。
• キーワードベースおよび参考文献ベースの文献収集手法を用いて、2016年から2023年7月までの95件の最近の物理的 adversarial 攻撃論文をレビューした。
• タスク（画像認識、物体検出、その他）ごとに攻撃を分類し、物理的条件下での耐性を高める技術を分析した。
• データセットやデプロイメントシナリオにわたる既存の攻撃手法の評価を行い、評価プロトコルの不整合を浮き彫りにした。
• 制御された条件下で物理的攻撃のテストを標準化・再現可能にするために、シミュレーション環境（例：Carla、AirSim）の利用を提案した。
• 動的設定、環境要因、解像度制約を含む一貫性のある物理的テスト基準の必要性を同定した。

実験結果

リサーチクエスチョン

• RQ1 物理的 adversarial 攻撃は、攻撃パイプライン全体にわたりどのように体系的に分類できるか？
• RQ2 実世界の環境変動下で、adversarial 例の物理的耐性を確保する上で、どのような主な技術的課題があるか？
• RQ3 なぜ物理的 adversarial 攻撃の再現性が現在制限されているのか、そしてシミュレーションベースのテストがそれをどのように改善できるか？
• RQ4 デジタル攻撃における転送性と耐性が、物理世界での効果にどの程度まで伝わるのか？
• RQ5 攻撃目的を超えて、adversarial パーティクルのポジティブな応用、たとえばモデルの耐性向上にどのように寄与できるか？

主な発見

• 物理的 adversarial 攻撃に関する論文の数は著しく増加しており、2016年から2023年までの95件の研究がレビューされ、研究関心の高まりを示している。
• 大多数の物理的攻撃は画像認識と物体検出に焦点を当てているが、セマンティックセグメンテーションやトラッキングはまだ未発展である。
• 現在の評価慣行には標準化がなく、データセットの不一致や環境条件の記述不足が顕在している。
• 静止状態での物理的テストでは、物体の動きや照明の変化が攻撃成功率に与える影響を捉えられていない。
• Carla や AirSim といったシミュレーションプラットフォームは、物理的攻撃の再現可能で制御された評価への有望な道筋を示している。
• adversarial 例を訓練データとして利用することで、複雑な実世界環境下でのモデルの耐性を向上させる強力な可能性がある。