[論文レビュー] Category-wise Attack: Transferable Adversarial Examples for Anchor Free Object Detection

Quanyu Liao, Xin Wang+5 more|arXiv (Cornell University)|Feb 10, 2020

Adversarial Robustness in Machine Learning参考文献 58被引用数 8

ひとこと要約

本稿では、CenterNetのようなアンカーフリー物体検出器を標的とする、転送可能な adversarial examples を生成するための新しい手法である Category-wise Attack (CA) を提案する。高レベルのセマンティックヒートマップを活用し、1つのカテゴリのすべてのインスタンスを同時に攻撃することで、スパース（SCA）およびドメニット（DCA）の摂動を用い、1%未満の画素変更で最先端の攻撃成功率を達成し、アンカーフリーおよびアンカーベースのモデルへ優れた転送性を示す。

ABSTRACT

Deep neural networks have been demonstrated to be vulnerable to adversarial attacks: subtle perturbations can completely change the classification results. Their vulnerability has led to a surge of research in this direction. However, most works dedicated to attacking anchor-based object detection models. In this work, we aim to present an effective and efficient algorithm to generate adversarial examples to attack anchor-free object models based on two approaches. First, we conduct category-wise instead of instance-wise attacks on the object detectors. Second, we leverage the high-level semantic information to generate the adversarial examples. Surprisingly, the generated adversarial examples it not only able to effectively attack the targeted anchor-free object detector but also to be transferred to attack other object detectors, even anchor-based detectors such as Faster R-CNN.

研究の動機と目的

• スピードと精度の高さから急速に普及しているアンカーフリー物体検出器を標的とする adversarial 攻撃に関する研究が不足していることに対処する。
• 個々の物体を別々に標的にするインスタンス単位の攻撃には、非効率で転送性が低いという限界があるため、それを克服する。
• より強固で転送性の高い adversarial examples を生成するために、グローバルなカテゴリレベルのセマンティック情報を活用する手法を開発する。
• L₀およびL∞ノルムに基づくスパースおよびドメニット摂動戦略を用いることで、最小限の目立たない摂動で高い攻撃成功率を達成する。
• ブラックボックス設定およびJPG圧縮下において、Faster R-CNNなどのアンカーベースの検出器を含むさまざまなモデルへの adversarial examples の転送性を実証する。

提案手法

• 個々の物体インスタンスを別々に攻撃する代わりに、特定のクラスのすべての検出インスタンスを同時に標的にするカテゴリ単位の攻撃戦略を提案する。
• アンカーフリーモデル（例：CenterNet）が生成するヒートマップを活用し、物体の主要なセマンティック特徴を表す高重要度画素を特定する。
• L₀ノルム最適化を用いて、密な adversarial examples を近似することで、最小限のスパース摂動を生成する Sparse Category-wise Attack (SCA) を設計する。
• L∞ノルム勾配を用いて、高セマンティック領域にわたる密な摂動を生成する Dense Category-wise Attack (DCA) を設計し、攻撃の効率性と転送性を向上させる。
• 不正な摂動を防ぐために、画素値を有界範囲（ε_S）内にクリッピングする。
• 現在検出されているものに加え、高い検出信頼度を示す潜在的物体領域に対しても攻撃を拡張することで、一般化性と転送性を向上させる。

実験結果

リサーチクエスチョン

• RQ1 カテゴリ単位の攻撃戦略は、アンカーフリー物体検出器の転送可能な adversarial examples を生成するうえで、インスタンス単位の攻撃を上回ることができるか？
• RQ2 L₀およびL∞ノルムに基づく摂動手法（SCAおよびDCA）は、高い攻撃成功率を維持しつつ、スパースおよびドメニットな adversarial examples をどれほど効果的に生成できるか？
• RQ3 CAを用いて生成された adversarial examples は、Faster R-CNN などのアンカーベースの検出器へどの程度転送可能か？
• RQ4 pL₂およびpL₀で測定した摂動の目立たなさ（知覚性）は、CA、DAG、およびベースライン手法の間でどのように比較されるか？
• RQ5 検出器のヒートマップの品質（例：DLA34 対 ResNet18）は、adversarial examples の攻撃性能および転送性に影響を与えるか？

主な発見

• SCA は、ResNet18 を用いた PascalVOC で pL₀ 0.27%、MS-COCO で 0.65% を達成し、1%未満の画素変更で高い攻撃成功率を維持していることが示された。
• DCA は、PascalVOC および MS-COCO 両方で平均 pL₂ 5.1×10⁻³ を達成し、密な摂動にもかかわらず低目立たなさを示した。
• MS-COCO において、DLA34 を使用したモデルは、ResNet18 よりも高い攻撃成功率（ASR）と攻撃転送性（ATP）を達成しており、集中度の高いヒートマップと相関していた。
• SCA および DCA で生成された adversarial examples は、DAG よりも Faster R-CNN への転送性が高く、JPG 圧縮下でも頑健であることが示された。
• ε_S の値を高く（例：>0.05）すると、SCA において白ボックス攻撃性能が向上し、計算コストが低下するが、pL₀ と処理時間にトレードオフが生じる。
• 本手法はさまざまなバックボーンで有効である：DLA34 は ResNet18 よりも集中度の高いヒートマップを生成し、より優れた攻撃性能を示しており、検出品質が攻撃成功に与える影響を裏付けた。