[論文レビュー] Adversarial Metric Attack for Person Re-identification.

Song Bai, Yingwei Li+3 more|arXiv (Cornell University)|Jan 30, 2019

Adversarial Robustness in Machine Learning被引用数 7

ひとこと要約

本論文は、距離メトリックの脆弱性を突くことで、人物再識別（re-ID）のための敵対的サンプルを生成する新しい手法、Adversarial Metric Attackを提案する。微小な摂動を適用することで、メトリックの頑健性を損なう。これにより、re-IDシステムにおける深刻なセキュリティ上の欠陥が露呈され、敵対的頑健な特徴学習の緊急の必要性が浮き彫りになる。

ABSTRACT

Person re-identification (re-ID) has attracted much attention recently due to its great importance in video surveillance. In general, distance metrics used to identify two person images are expected to be robust under various appearance changes. However, our work observes the extreme vulnerability of existing distance metrics to adversarial examples, generated by simply adding human-imperceptible perturbations to person images. Hence, the security danger is dramatically increased when deploying commercial re-ID systems in video surveillance, especially considering the highly strict requirement of public safety. Although adversarial examples have been extensively applied for classification analysis, it is rarely studied in metric analysis like person re-identification. The most likely reason is the natural gap between the training and testing of re-ID networks, that is, the predictions of a re-ID network cannot be directly used during testing without an effective metric. In this work, we bridge the gap by proposing Adversarial Metric Attack, a parallel methodology to adversarial classification attacks, which can effectively generate adversarial examples for re-ID. Comprehensive experiments clearly reveal the adversarial effects in re-ID systems. Moreover, by benchmarking various adversarial settings, we expect that our work can facilitate the development of robust feature learning with the experimental conclusions we have drawn.

研究の動機と目的

• 既存の距離メトリックが敵対的サンプルに対してどれほど脆弱であるかを調査すること。
• 分類とは異なり、予測が直接的な分類出力ではなく学習されたメトリックに依存するre-IDのようなメトリック学習分野における敵対的攻撃の不足を是正すること。
• 分類タスクにおける敵対的攻撃と、re-IDのようなメトリックベースのシステムとの間のギャップを埋めること。
• re-IDにおけるメトリック性能を低下させる敵対的サンプルの生成可能性と影響を実証すること。
• 今後の頑健な特徴学習の開発を支援するため、re-IDにおける敵対的頑健性の実証的ベンチマークを提供すること。

提案手法

• 分類タスクにおける敵対的攻撃とは別個のフレームワークを提示し、メトリックベースのre-IDシステムに特化して設計されたものである。
• 人物画像に人間が感知できない摂動を適用することで、敵対的サンプルを生成し、距離メトリックの計算を混乱させる。
• re-IDにおけるトレーニングとテストの間の本質的な乖離に着目し、モデルの予測が直接的な出力ではなく、学習されたメトリックに依存することを活かす。
• 分類出力が推論時に利用できない場合でも有効であるように、メトリック学習の目的関数を直接標的とする攻撃戦略を設計する。
• 視覚的不可視性を保ちながらメトリックの歪みを最大化する摂動を生成するために、勾配ベースの最適化手法を採用する。
• 複数のre-IDベンチマークを用いて攻撃の妥当性を検証し、敵対的サンプルの一般化性と頑健性を確認する。

実験結果

リサーチクエスチョン

• RQ1 既存の距離メトリックは、人物再識別において敵対的摂動に対してどれほど脆弱であるか？
• RQ2 分類ヘッドが推論時に直接利用できないre-IDのようなメトリック学習システムにおいて、敵対的サンプルを効果的に生成できるか？
• RQ3 標準的な分類タスクと比較して、re-IDにおける敵対的攻撃の主な特徴と成功パターンは何か？
• RQ4 異なる敵対的設定は、re-IDシステムのメトリック攻撃下での性能低下にどのように影響するか？
• RQ5 敵対的サンプルは、実世界の監視応用においてre-IDシステムの信頼性をどれほど損なう可能性があるか？

主な発見

• 人物再識別における既存の距離メトリックは、微小な摂動によって生成された敵対的サンプルに対して極めて脆弱である。
• Adversarial Metric Attackは、分類出力への直接的なアクセスがなくても、メトリック空間を操作することでre-ID性能を著しく低下させることに成功した。
• 包括的な実験により、敵対的摂動が複数のベンチマークデータセットにおいてre-IDの正確性を顕著に低下させることを確認した。
• 攻撃は多様なre-ID設定において一貫した成功を示し、現在のメトリック学習アプローチにシステム的な脆弱性が存在することを示している。
• 本研究は、今後のre-IDにおけるより頑健な特徴学習手法の開発を支援する実証的ベンチマークを提供した。