[論文レビュー] Adversarial Attack on Skeleton-based Human Action Recognition

Jian Liu, Naveed Akhtar+1 more|arXiv (Cornell University)|Sep 14, 2019

Adversarial Robustness in Machine Learning被引用数 9

ひとこと要約

本稿では、グラフ畳み込みネットワークを用いたスケルトンベースの行動認識に対する、最初の敵対的攻撃フレームワークであるCIASAを提案する。空間的・時間的制約、空間的スケルトン再配置、GANベースの正則化を適用することで、人間が気づかないような自然な見た目の摂動を生成し、最先端のモデルを高効率にだますことに成功した。また、レンダリングされたRGB動画においても敵対的行動を引き起こすことができる。

ABSTRACT

Deep learning models achieve impressive performance for skeleton-based human action recognition. However, the robustness of these models to adversarial attacks remains largely unexplored due to their complex spatio-temporal nature that must represent sparse and discrete skeleton joints. This work presents the first adversarial attack on skeleton-based action recognition with graph convolutional networks. The proposed targeted attack, termed Constrained Iterative Attack for Skeleton Actions (CIASA), perturbs joint locations in an action sequence such that the resulting adversarial sequence preserves the temporal coherence, spatial integrity, and the anthropomorphic plausibility of the skeletons. CIASA achieves this feat by satisfying multiple physical constraints, and employing spatial skeleton realignments for the perturbed skeletons along with regularization of the adversarial skeletons with Generative networks. We also explore the possibility of semantically imperceptible localized attacks with CIASA, and succeed in fooling the state-of-the-art skeleton action recognition models with high confidence. CIASA perturbations show high transferability for black-box attacks. We also show that the perturbed skeleton sequences are able to induce adversarial behavior in the RGB videos created with computer graphics. A comprehensive evaluation with NTU and Kinetics datasets ascertains the effectiveness of CIASA for graph-based skeleton action recognition and reveals the imminent threat to the spatio-temporal deep learning tasks in general.

研究の動機と目的

• スケルトンベースの行動認識、特にグラフニューラルネットワークにおける敵対的ロバストネス研究の不足に取り組む。
• 摂動を加えたスケルトン系列において、時間的整合性、空間的整合性、人間らしさの妥当性を維持する攻撃を開発する。
• 全体の行動ダイナミクスを損なわせずに、特定の関節のみを摂動することで、意味的に気づかれにくい局所的攻撃を可能にする。
• 異なる認識モデルおよびモダリティ（RGB動画を含む）間での敵対的例の転送性を評価する。
• スケルトンに対する摂動が、同じスケルトンからレンダリングされたコンピュータグラフィックスによるRGB動画においても敵対的行動を引き起こすことを示す。

提案手法

• CIASAは、ターゲットクラスの損失を最小化しつつ、関節位置を小さなステップで繰り返し摂動する反復的最適化スキームを採用する。
• 空間的スケルトン再配置（SSR）を用いて空間的制約を強制し、フレーム間をまたがる関節接続とボーン長を保持する。
• 時間的滑らかさは、連続フレーム間の関節加速度をペナルティ化することで維持され、自然な運動の進化を保証する。
• 敵対的摂動は、摂動されたスケルトンの分布を現実のスケルトンデータと一致させるためにGANフレームワークを用いて正則化される。
• 攻撃は、グローバル（すべての関節）、局所的（関節のサブセット）、階層的（構造的関節変動）の複数のモードで動作し、静かに展開可能である。
• モデル間での転送性は評価され、RGB動画への影響はコンピュータグラフィックスレンダリングパイプラインを用いてテストされた。

Figure 1: Constrained Iterative Attack for Skeleton Actions (CIASA) schematics. Model gradients are computed for input action sequence to iteratively minimise the model’s loss for a target label in small step, while accounting for the relevant spatio-temporal constraints. A generator-discriminator f

実験結果

リサーチクエスチョン

• RQ1 グラフ畳み込みネットワークを用いたスケルトンベースの行動認識モデルに対して、敵対的攻撃を効果的に適用できるか？
• RQ2 敵対的摂動は、スケルトン系列において時間的整合性と空間的整合性をどのように保つことができるか？
• RQ3 摂動はどれほど人間らしく自然で、意味的に気づかれにくいか？
• RQ4 生成された敵対的例は、異なる認識モデル間でどれほど転送可能か？
• RQ5 スケルトンに対する敵対的摂動は、同じスケルトンからレンダリングされたRGB動画ストリームにおいても誤分類を引き起こすか？

主な発見

• CIASAは、VNectのような強力な防御機構を備えた状況下でも、NTUおよびKineticsデータセット上で最先端のスケルトン行動認識モデルを高い信頼性でだますことに成功した。
• CIASAが生成する摂動は、異なるモデル間で高い転送性を示しており、グラフベースのスケルトン認識システム全体に広範な脆弱性があることを示している。
• 空間的スケルトン再配置とGAN正則化の使用により、定性的な比較で示されるように、敵対的スケルトンの現実性と妥当性が顕著に向上した。
• 時間的滑らかさ制約により、不自然な運動アーチファクトが低減され、滑らかでより自然な見た目の敵対的シーケンスが得られた。
• スケルトンに対する敵対的摂動は、コンピュータグラフィックスでレンダリングされたRGB動画モダリティへも効果的に転送され、実世界での脅威の可能性を示した。
• CIASAの局所的攻撃は、関節の一部のみを摂動することで、支配的な行動パターンを保ちながらもモデルをだますことに成功し、検知を回避できた。

Figure 2: Fooling rates (%) achieved by one-step non-targeted attack with different perturbation scaling factors for NTU and Kinetics datasets. Both cross-subject NTU XS and cross-view NTU XV protocols are considered for the NTU dataset.