[論文レビュー] Adversarial YOLO: Defense Human Detection Patch Attacks via Detecting Adversarial Patches

Nan Ji, YanFei Feng+3 more|arXiv (Cornell University)|Mar 16, 2021

Adversarial Robustness in Machine Learning参考文献 16被引用数 26

ひとこと要約

Ad-YOLOはYOLOv2にパッチカテゴリを追加して敵対的パッチを検出可能にし、人とパッチを同時検出できるようにするとともに、標準検出のコストを最小限に抑えながらホワイトボックスおよび物理世界のパッチ攻撃に対して高い頑健性を示す。

ABSTRACT

The security of object detection systems has attracted increasing attention, especially when facing adversarial patch attacks. Since patch attacks change the pixels in a restricted area on objects, they are easy to implement in the physical world, especially for attacking human detection systems. The existing defenses against patch attacks are mostly applied for image classification problems and have difficulty resisting human detection attacks. Towards this critical issue, we propose an efficient and effective plug-in defense component on the YOLO detection system, which we name Ad-YOLO. The main idea is to add a patch class on the YOLO architecture, which has a negligible inference increment. Thus, Ad-YOLO is expected to directly detect both the objects of interest and adversarial patches. To the best of our knowledge, our approach is the first defense strategy against human detection attacks. We investigate Ad-YOLO's performance on the YOLOv2 baseline. To improve the ability of Ad-YOLO to detect variety patches, we first use an adversarial training process to develop a patch dataset based on the Inria dataset, which we name Inria-Patch. Then, we train Ad-YOLO by a combination of Pascal VOC, Inria, and Inria-Patch datasets. With a slight drop of $0.70\%$ mAP on VOC 2007 test set, Ad-YOLO achieves $80.31\%$ AP of persons, which highly outperforms $33.93\%$ AP for YOLOv2 when facing white-box patch attacks. Furthermore, compared with YOLOv2, the results facing a physical-world attack are also included to demonstrate Ad-YOLO's excellent generalization ability.

研究の動機と目的

• 実世界環境における人検出システムの敵対的パッチ攻撃への脆弱性に対処する。
• 推論オーバーヘッドをほとんど増やさず、人物と敵対的パッチの双方を検出できるプラグイン防御法（Ad-YOLO）を開発する。
• 敵対的訓練を通じて多様な敵対的パッチデータセット（Inria-Patch）を作成・活用する。
• Ad-YOLOの検出可能性、ホワイトボックスおよび物理世界の攻撃に対する頑健性、そして状況や個人を跨ぐ一般化を評価する。

提案手法

• YOLOv2の最後の層に新しいパッチカテゴリを追加し、残りのアーキテクチャを変更せずにパッチ用の追加クラスを出力するAd-YOLOを作成する。
• Inriaでの敵対的訓練を通じてInria-Patchを構築し、攻撃効果が高く多様性のあるパッチを生成する。
• Pascal VOC、Inria、Inria-Patchのデータセットを混合してAd-YOLOを訓練し、人物とパッチを同時検出するよう促す。
• パッチ拡張入力に対する期待損失を最小化するようにAd-YOLOの訓練目的を定式化し、パッチ適用を表す A(delta, x, t) と、追加のパッチラベルを持つ真の値 ŷ を取り入れる。
• パッチクラスを追加しつつコアYOLOv2構造を維持することで、時機性と計算コストを低く保つ。

実験結果

リサーチクエスチョン

• RQ1 物体検出器をパッチ検出クラスで拡張して、デジタル空間と物理世界の両方で敵対的パッチに対抗できるか？
• RQ2 パッチ検出機能を追加しつつ、元の検出性能（検出能力）を維持できるか？
• RQ3 ホワイトボックスパッチ攻撃に対して、Ad-YOLOは従来のYOLOv2と比較してどのように性能を発揮し、見かけないパッチやシーンへ一般化できるか？
• RQ4 敵対的パッチ訓練（Inria-Patch）が、データセットやシナリオを跨る頑健性と一般化に与える影響は何か？

主な発見

• Ad-YOLOはVOC 2007でYOLOv2とほぼ同等の検出性能を維持し、mAPは73.07%から72.35%へ0.70ポイント低下した。
• Inriaでの人物検出精度はAPが88.13%から86.91%へわずかに低下した状態を維持。
• Inria-Patch敵対的パッチデータセットで83.91%のAPを達成し、パッチ検出が有効であることを示している。
• ホワイトボックスパッチ攻撃下で、人物APはYOLOv2の33.93%からAd-YOLOの80.31%へ改善され、顕著な頑健性の向上を示す。
• Ad-YOLOは未見のパッチやシーン（ケース I0-P0, I1-P0, I0-P1, I1-P1）に一般化し、検証設定での人物APは77.82%から78.70%の範囲。
• 対敵対的訓練ベースラインと比較して、Ad-YOLOは約46%の頑健性改善を達成し、クリーンAPの追加低下は約1.4%にとどまり、標準訓練と同程度の訓練コストを必要とする。