[論文レビュー] Can You Spot the Chameleon? Adversarially Camouflaging Images from Co-Salient Object Detection

Ruijun Gao, Qing Guo+6 more|arXiv (Cornell University)|Sep 19, 2020

Adversarial Robustness in Machine Learning参考文献 54被引用数 7

ひとこと要約

本論文は、共同顕著度検出を回避するために、高レベルの特徴量に敏感な損失関数を用いて露出と加法的ノイズを同時に最適化する、最初のブラックボックス敵対的共同顕著度攻撃であるJadenaを紹介する。複数のCoSODモデルおよびデータセットにおいて顕著度検出性能を著しく低下させ、ターゲットモデルのアーキテクチャやパラメータを事前に知らずに顕著なオブジェクトを検出不能にする。

ABSTRACT

Co-salient object detection (CoSOD) has recently achieved significant progress and played a key role in retrieval-related tasks. However, it inevitably poses an entirely new safety and security issue, i.e., highly personal and sensitive content can potentially be extracting by powerful CoSOD methods. In this paper, we address this problem from the perspective of adversarial attacks and identify a novel task: adversarial co-saliency attack. Specially, given an image selected from a group of images containing some common and salient objects, we aim to generate an adversarial version that can mislead CoSOD methods to predict incorrect co-salient regions. Note that, compared with general white-box adversarial attacks for classification, this new task faces two additional challenges: (1) low success rate due to the diverse appearance of images in the group; (2) low transferability across CoSOD methods due to the considerable difference between CoSOD pipelines. To address these challenges, we propose the very first black-box joint adversarial exposure and noise attack (Jadena), where we jointly and locally tune the exposure and additive perturbations of the image according to a newly designed high-feature-level contrast-sensitive loss function. Our method, without any information on the state-of-the-art CoSOD methods, leads to significant performance degradation on various co-saliency detection datasets and makes the co-salient objects undetectable. This can have strong practical benefits in properly securing the large number of personal photos currently shared on the Internet. Moreover, our method is potential to be utilized as a metric for evaluating the robustness of CoSOD methods.

研究の動機と目的

• グループ画像から機微な個人情報を抽出できる強力な共同顕著度検出（CoSOD）手法が引き起こす新たなセキュリティリスクに対処すること。
• CoSODモデルが誤った顕著領域を予測するように誘導する、新しい敵対的攻撃フレームワーク（敵対的共同顕著度攻撃）の開発。
• 2つの主要な課題に取り組むこと：グループ内の画像の多様性による低成功率と、異種のCoSODパイプライン間での低転送性。
• ターゲットCoSODモデルのアーキテクチャやパラメータにアクセスしないブラックボックス手法の設計。
• オンラインで共有される個人用マルチメディアコンテンツを保護する実用的な防御メカニズムの提供。

提案手法

• ターゲットCoSODモデルの知識が不要なブラックボックスの共同敵対的露出とノイズ攻撃であるJadenaを提案。
• 露出と加法的摂動の同時最適化を誘導するための、新規の高レベル特徴量に敏感な損失関数を採用。
• 自然な外観を保ちながらCoSODの誤検出を最大化するため、局所的かつ画像固有の摂動を適用。
• 多段階の最適化プロセスを用いて、多様な画像グループにおいて見えにくさと攻撃効果のバランスをとる。
• 視覚的整合性を維持しながら、CoSODパイプラインにおける特徴レベルの一致検出を妨げる方法で摂動を適用。
• 単一画像、グループベース、拡張攻撃モードの3つのバリエーションをサポートし、耐性と転送性の異なるレベルを実現。

実験結果

リサーチクエスチョン

• RQ1 モデルへのアクセスなしに、敵対的摂動を共同顕著度検出に効果的に適用し、顕著なオブジェクトを隠すことは可能か？
• RQ2 露出とノイズをどのように同時に最適化すれば、視覚的に見えにくく保ちつつCoSODモデルの検出を最大限に回避できるか？
• RQ3 提案手法は、異なるCoSODアーキテクチャおよびデータセット間でどの程度転送可能か？
• RQ4 グループ内の画像の外見や内容の多様性が極めて高い状況でも、攻撃は有効に機能するか？
• RQ5 提案手法は、CoSODモデルの耐性評価指標として適しているか？

主な発見

• Jadenaは、Cosal2015やCoSOD3kを含む複数のCoSODデータセットで顕著な性能低下を達成し、共同顕著度オブジェクトを検出不能にした。
• グループベースのバージョンでは、CoSOD3kデータセットにおいて平均絶対誤差（MAE）を0.0771に低下させ、F-measureを0.5347に向上させ、すべてのベースラインを上回った。
• Jadenaのグループベースおよび拡張バージョンは、FGSM や TI-MI-FGSM などのホワイトボックス攻撃よりも、GICD、GCAGC、PoolNet などの複数のCoSODモデルで高い転送性を示した。
• 視覚的見えにくさが低く保たれ、TI-MI-FGSM が不自然で目立つノイズを適用するのに対し、Jadenaは最小限の歪みで可視化された。
• アブレーションスタディにより、露出とノイズの同時摂動が不可欠であることが確認され、いずれかのコンponentを除去すると攻撃成功率が著しく低下した。
• ターゲットモデルが未知であっても攻撃が有効であることが示され、多様なCoSODパイプライン間で強いブラックボックス転送性を示した。