[論文レビュー] Adversarial Laser Beam: Effective Physical-World Attack to DNNs in a Blink

Ranjie Duan, Xiaofeng Mao+5 more|arXiv (Cornell University)|Mar 11, 2021

Adversarial Robustness in Machine Learning参考文献 29被引用数 18

ひとこと要約

本稿では、深層畳み込みニューラルネットワーク（DNN）をリアルタイムで撃破する、物理世界における攻撃手法である悪意あるレーザービーム（AdvLB）を提案する。波長や強度といったレーザーのパrameterを最適化することで、デジタル環境では95.1%、屋外の物理的実験では77.43%の攻撃成功率を達成した。これは、レーザー光そのものが分類誤りを引き起こす主要因となり、特に照明関連のクラスに対して顕著であることを示している。

ABSTRACT

Though it is well known that the performance of deep neural networks (DNNs) degrades under certain light conditions, there exists no study on the threats of light beams emitted from some physical source as adversarial attacker on DNNs in a real-world scenario. In this work, we show by simply using a laser beam that DNNs are easily fooled. To this end, we propose a novel attack method called Adversarial Laser Beam ($AdvLB$), which enables manipulation of laser beam's physical parameters to perform adversarial attack. Experiments demonstrate the effectiveness of our proposed approach in both digital- and physical-settings. We further empirically analyze the evaluation results and reveal that the proposed laser beam attack may lead to some interesting prediction errors of the state-of-the-art DNNs. We envisage that the proposed $AdvLB$ method enriches the current family of adversarial attacks and builds the foundation for future robustness studies for light.

研究の動機と目的

• レーザービームがDNNの物理的攻撃に有効な摂動として機能できるかを調査すること。
• 制御可能なレーザービームパrameter（波長、強度、位置など）を用いて、リアルタイムかつ高速な攻撃を可能にする手法を開発すること。
• デジタルおよび物理的環境における、レーザー攻撃の不審性と有効性を評価すること。
• レーザービームの干渉によってDNNが誤分類を起こす根本的要因を分析すること。
• ランダムなレーザービームの追加を用いた防御戦略を提案し、モデルの耐性を向上させること。

提案手法

• レーザービームを、波長、強度、位置といった制御可能な物理的パラメータの集合として定式化し、敵対的干渉を可能にする。
• ブラックボックス環境下で、最も効果的なレーザービーム設定を探索するためのグリーディー最適化法を設計する。
• 局所最適解から脱出するため、k回のランダムリスタート戦略を適用し、攻撃成功率を向上させる。
• クラス活性化マッピング（CAM）を用いて、レーザービームが導入された際のモデルの注視領域の変化を可視化する。
• 訓練画像にランダムにレーザービームを挿入することで、データ拡張による防御を実装する。
• SGDとコサインスケーリング学習率を用いて、ランダムなレーザービームの追加を施したResNet50を訓練し、一般化性能の向上を達成する。

実験結果

リサーチクエスチョン

• RQ1 レーザービームはDNNの物理的攻撃に有効な摂動として機能できるか？
• RQ2 波長や強度といったレーザービームの物理的パラメータが、DNNの誤分類に与える影響は何か？
• RQ3 レーザービームが画像に導入する、誤った予測を引き起こす主な視覚的特徴は何か？
• RQ4 訓練段階でランダムなレーザービームの追加を施すことで、DNNの耐性が向上するか？
• RQ5 AdvLBの攻撃性能は、デジタル環境、屋内、屋外の物理的環境の各条件下でどのように異なるか？

主な発見

• AdvLBはImageNetのサブセットにおいて、デジタル環境で95.1%の攻撃成功率を達成した。
• 屋外の物理的環境でのテストでは、77.43%の攻撃成功率を達成し、現実世界への実用可能性を示した。
• 特定の波長（例：380 nm）のレーザービームは、'Candle'クラスの予測確率を0.19%から6.21%まで上昇させた。
• レーザービームはDNNを誤導する主要な特徴を導入し、特に'Volcano'や'Candle'のような照明関連のクラスに予測をバイアスさせる。
• ランダムなレーザービームの追加を訓練段階で行うことで、防御モデルはクリーンな正確度を0.21%向上させ、攻撃成功率を95.1%から77.2%に低下させた。
• CAMの可視化により、画像の隅にわずかにレーザービームが存在するだけで、モデルの注視領域が'Bubble' や 'Volcano' といった誤ったクラスにシフトすることが確認された。