[論文レビュー] Adversarial Patches Exploiting Contextual Reasoning in Object Detection

Aniruddha Saha, Akshayvarun Subramanya+1 more|arXiv (Cornell University)|Dec 21, 2019

Adversarial Robustness in Machine Learning参考文献 21被引用数 9

ひとこと要約

本稿では、特定のカテゴリ（例：歩行者）をオブジェクトが重なっていない状態でYOLOオブジェクト検出器を無力化する文脈に基づく adversarial パッチ攻撃を提案する。これは、検出器が空間的文脈に依存していることに起因する。また、物体のバウンディングボックスの外側での文脈的影響を制限する訓練正則化手法であるGrad-Defenseを導入し、検出精度を維持したまま、こうした攻撃に対して顕著な耐性向上を達成する。

ABSTRACT

The utilization of spatial context to improve accuracy in most fast object detection algorithms is well known. The detectors increase inference speed by doing a single forward pass per image which means they implicitly use contextual reasoning for their predictions. We show that an adversary can exploit such contextual reasoning to fool standard detectors. We develop adversarial patches that make an object detector blind to a particular category even though the patch does not overlap with the missed detections. We also study methods to fix this vulnerability and show that limiting the use of contextual reasoning during object detector training acts as a form of defense that makes the detector robust. We believe defending against context based adversarial attack algorithms is not easy. We take a step towards that direction and urge the research community to give attention to this vulnerability.

研究の動機と目的

• YOLOのような高速オブジェクト検出器における空間的文脈が、オブジェクトと重ならない adversarial パッチに対してどのように脆弱であるかを調査すること。
• 目的のオブジェクトカテゴリに対して無力化するが、他のカテゴリの検出を維持するカテゴリ特化型 adversarial パッチを設計すること。
• 訓練中に空間的文脈への依存を低減する防御メカニズムを開発し、こうした文脈に基づく攻撃に対する耐性を向上させること。
• Grad-CAM のような説明可能手法が文脈的影響を局所化するのに適しているかを評価し、より良い空間的局所化を実現するための改良版であるDetGrad-CAMを提案すること。

提案手法

• 目的のオブジェクトと重ならないように、画像の隅に貼り付けるカテゴリ特化型 adversarial パッチを設計する。
• 検出されたオブジェクトのバウンディングボックスの外側での特徴マップ活性化をペナルティ化する新しい正則化項を導入し、YOLOv2を訓練することで、文脈的影響を制限する。
• 空間的文脈の貢献を訓練段階で低減するよう正則化するモデル学習戦略であるGrad-Defenseを提案する。
• 勾配と活性化の要素ごとの積乗算を用いることで、空間的情報を保持するようにGrad-CAMを改良し、DetGrad-CAMを構築する。
• DetGrad-CAM を用いて、Grad-Defense を適用した前後での文脈的使用状況を可視化・比較する。
• PASCAL VOC および COCO データセット上で、さまざまなパッチ配置およびターゲットカテゴリにおける攻撃成功率と検出AP（平均精度）を評価する。

実験結果

リサーチクエスチョン

• RQ1 オブジェクトがシーンに重ならない状態で、特定のカテゴリに特化した adversarial パッチを設計できるか？
• RQ2 検出器が空間的文脈に依存することでこうした攻撃が可能になるが、そのメカニズムは定量的に評価可能か？
• RQ3 訓練段階で文脈的影響を制限することで、カテゴリ特化型 adversarial パッチに対する耐性が向上するか？
• RQ4 Grad-CAM のような標準的な説明可能手法は、オブジェクト検出における文脈的貢献の局所化に適しているか？また、どのように改善できるか？
• RQ5 訓練中に文脈の使用を制限する防御機構は、文脈に基づく adversarial パッチ攻撃に対して効果的に緩和できるか？

主な発見

• オブジェクトと重ならないように隅に配置された adversarial パッチにより、YOLOv2のターゲットカテゴリにおける平均精度（AP）は、自動車で59.0%から31.8%へ、歩行者で51.7%から34.2%へ低下した。
• 提案されたGrad-Defense防御は顕著に耐性を向上させ、標準的なYOLOv2と比較して攻撃下でのターゲットカテゴリのAP低下を著しく抑制した。
• 改良型Grad-CAMであるDetGrad-CAMは、複数のインスタンスにまたがる空間的区別がぼやける標準Grad-CAMと比較して、より正確な文脈的影響の空間的局所化を実現した。
• DetGrad-CAMを用いた可視化により、Grad-Defenseが物体バウンディングボックスの外側での空間的文脈への依存を低減していることが確認された。
• パッチが異なる画像間で普遍的（ユニバーサル）であっても攻撃は効果を示し、自動運転車などの実世界環境における実用的妥当性を示した。
• ノルム制約付き adversarial 例に対する標準的な防御手法は、こうしたパッチが持つ大規模で局所的な摂動の特性のため、効果を示さなかった。