[論文レビュー] Adversarial Patch Camouflage against Aerial Detection

Ajaya Adhikari, Richard den Hollander+10 more|arXiv (Cornell University)|Aug 31, 2020

Adversarial Robustness in Machine Learning参考文献 19被引用数 7

ひとこと要約

本論文では、大規模な軍用機を深層学習ベースの航空画像オブジェクト検出器から隠すために、完全なカバーを必要とせず、検出器を誤検出させる小さなパターン付きパッチを用いる「敵対的パッチカモフラージュ」を提案する。この手法は、最小限のパッチサイズで高い隠蔽効果を達成し、ランダムノイズよりも優れており、さまざまな検出器アーキテクチャに一般化可能である。

ABSTRACT

Detection of military assets on the ground can be performed by applying deep learning-based object detectors on drone surveillance footage. The traditional way of hiding military assets from sight is camouflage, for example by using camouflage nets. However, large assets like planes or vessels are difficult to conceal by means of traditional camouflage nets. An alternative type of camouflage is the direct misleading of automatic object detectors. Recently, it has been observed that small adversarial changes applied to images of the object can produce erroneous output by deep learning-based detectors. In particular, adversarial attacks have been successfully demonstrated to prohibit person detections in images, requiring a patch with a specific pattern held up in front of the person, thereby essentially camouflaging the person for the detector. Research into this type of patch attacks is still limited and several questions related to the optimal patch configuration remain open. This work makes two contributions. First, we apply patch-based adversarial attacks for the use case of unmanned aerial surveillance, where the patch is laid on top of large military assets, camouflaging them from automatic detectors running over the imagery. The patch can prevent automatic detection of the whole object while only covering a small part of it. Second, we perform several experiments with different patch configurations, varying their size, position, number and saliency. Our results show that adversarial patch attacks form a realistic alternative to traditional camouflage activities, and should therefore be considered in the automated analysis of aerial surveillance imagery.

研究の動機と目的

• 深層学習ベースの航空画像オブジェクト検出器を回避できる、大型軍用資産（例：戦闘機）向けの実用的カモフラージュ手法を開発すること。
• 小さな敵対的パッチが、物体全体の表面のわずかな部分しかカバーしなくても、実際にその機体を検出から隠すことができるかを調査すること。
• パッチの構成要因（サイズ、配置、目立つ度合い、数）が検出回避性能に与える影響を評価すること。
• 敵対的パッチがYOLO、SSD、RetinaNet、Faster R-CNN、Mask R-CNNなど、さまざまなオブジェクト検出モデルに一般化する程度を評価すること。
• デジタルシミュレーションを用いて敵対的パッチの実世界での実用可能性を検証し、将来的な物理的展開に備えること。

提案手法

• YOLOベースのオブジェクト検出器における機体の検出信頼度を最小化するように、標的攻撃フレームワークを用いて敵対的パッチを訓練する。
• 勾配ベースの最適化によりパッチパターンを最適化し、誤分類を最大化すると同時に、目立つ歪みを最小限に抑える。
• パッチの効果をさまざまな設定でテスト：パッチサイズ（小、中、大）、配置（胴体、翼、尾翼）、目立つ度合い（色のコントラスト、テクスチャ）。
• YOLOで訓練されたパッチをFaster R-CNN や RetinaNet などの他の検出器に対してテストすることで、転送性を評価する。
• 大規模な航空画像データセットを用いて、ドローン監視の実世界状況をシミュレートし、検出失敗率を測定する。
• 検出回避性能を定量化するために、精度-再現率曲線と視覚的分析を用いる。

実験結果

リサーチクエスチョン

• RQ1 小さな敵対的パッチ（例：機体表面の10％程度）であっても、YOLOベースのオブジェクト検出器から全体の機体を効果的に隠すことができるか？
• RQ2 パッチサイズ、配置、視覚的目立たせ具合が、航空画像における敵対的カモフラージュの成功確率にどのように影響するか？
• RQ3 YOLOで訓練された敵対的パッチが、Faster R-CNN や RetinaNet などの他のオブジェクト検出モデルに対してもどれほど一般化可能か？
• RQ4 再訓練なしで、1つの敵対的パッチパターンが戦闘機や民間機など、複数の機体タイプを効果的にカモフラージュできるか？
• RQ5 検出回避性能において、敵対的パッチはランダムノイズパッチや従来のカモフラージュネットよりも優れているか？

主な発見

• 1つの敵対的パッチでさえ、たとえ小さなサイズ（例：機体表面の10％）であっても、YOLOベースの検出器が全体の機体を検出できないように効果的に機能する。
• 敵対的パッチは、同サイズのランダムノイズパッチよりも顕著に優れており、検出率にほとんど影響を与えないことが確認された。
• パッチの配置が効果に強く影響した——最適な配置は、視覚的注目が集まりやすい胴体や翼上であった。
• パッチは強く転送可能であり、Faster R-CNN や RetinaNet など複数のオブジェクト検出器で検出を回避することができ、アーキテクチャを越えた一般化が示された。
• 精度-再現率曲線から、敵対的パッチを適用した際、検出性能が著しく低下していることが確認され、高い回避成功率が裏付けられた。
• 結果から、敵対的パッチカモフラージュは、大型軍用資産に対して従来のカモフラージュネットよりも実用的で効率的な代替手段であると考えられる。