[論文レビュー] DPatch: An Adversarial Patch Attack on Object Detectors

Xin Liu, Huanrui Yang+4 more|arXiv (Cornell University)|Jun 5, 2018

Adversarial Robustness in Machine Learning参考文献 18被引用数 150

ひとこと要約

DPatch は、Faster R-CNN と YOLO の境界ボックス回帰と物体分類を同時に崩す小さな敵対的パッチを訓練し、ブラックボックス設定下で高い転移性を持つ無標的攻撃または標的型攻撃を実現する。

ABSTRACT

Object detectors have emerged as an indispensable module in modern computer vision systems. In this work, we propose DPatch -- a black-box adversarial-patch-based attack towards mainstream object detectors (i.e. Faster R-CNN and YOLO). Unlike the original adversarial patch that only manipulates image-level classifier, our DPatch simultaneously attacks the bounding box regression and object classification so as to disable their predictions. Compared to prior works, DPatch has several appealing properties: (1) DPatch can perform both untargeted and targeted effective attacks, degrading the mAP of Faster R-CNN and YOLO from 75.10% and 65.7% down to below 1%, respectively. (2) DPatch is small in size and its attacking effect is location-independent, making it very practical to implement real-world attacks. (3) DPatch demonstrates great transferability among different detectors as well as training datasets. For example, DPatch that is trained on Faster R-CNN can effectively attack YOLO, and vice versa. Extensive evaluations imply that DPatch can perform effective attacks under black-box setup, i.e., even without the knowledge of the attacked network's architectures and parameters. Successful realization of DPatch also illustrates the intrinsic vulnerability of the modern detector architectures to such patch-based adversarial attacks.

研究の動機と目的

• パッチベースの敵対的攻撃に対する脆弱性を検討することで頑健な物体検出器の研究動機づけ。
• 主流の検出器において Localization と Classification の両方を混乱させる小型の実用的な敵対的パッチを開発。
• パッチが位置・スケールに不変であることを示し、無標的および標的型の攻撃能力をデモンストレーション。
• 検出器の二段階・一段階アーキテクチャとデータセット（VOC、COCO）間でのパッチの転移性を示す。
• ネットワークアーキテクチャとパラメータが未知のブラックボックス条件下での攻撃有効性を評価。

提案手法

• DPatch を導入し、検出処理中の入力画像上に配置する最適化可能なパッチを用意する。
• Untargeted ロスを最大化するか、Targeted ロスを最小化するかを最適化して DPatch を訓練する。
• 訓練時にランダム変換（シフト、スケール、回転）を適用し、物理的世界のばらつきへの頑健性を確保する。
• 固定パッチサイズ（例：40x40）を用い、訓練時には固定位置とランダム位置の配置を探索する。
• Pascal VOC 2007 を主データセットとして Faster R-CNN（VGG16/ResNet101）および YOLO を評価し、COCO および VOC 訓練済み検出器での転移性を検証する。
• RoI がパッチ領域に集中することを示し、検出器が物体を正しく位置付けたり分類したりできない理由を説明する。

実験結果

リサーチクエスチョン

• RQ1 Faster R-CNN や YOLO のような現代の物体検出器において、小さな敵対的パッチが localization と classification の両方を妨害できるか。
• RQ2 位置・スケール・回転に頑健なパッチで無標的型および標的型攻撃を達成できるか。
• RQ3 ブラックボックス条件下で異なる検出器アーキテクチャおよびデータセット間で DPatch 攻撃の転移性はどの程度か。
• RQ4 パッチサイズとターゲットクラスが攻撃の有効性に及ぼす影響は。
• RQ5 一つのデータセットまたは検出器での訓練が別のデータセットや検出器での成功した攻撃につながるか（データセットと検出器間の転移性）？

主な発見

• DPatch は、Faster R-CNN（ResNet101）での mAP 75.10% および YOLO 65.7% から、無標的攻撃でテスト設定の下で 1% 未満まで低下させることができる。
• 標的パッチは検出を主に選択されたターゲットクラスとしてパッチ領域を認識させるよう強制でき、他の物体検出を実質的に無効化する。
• パッチサイズと標的クラスは有効性に影響を与え、一般に大きいパッチの方が強い攻撃を生み出し、特定のターゲットクラス（例：tv、cow）は他より mAP の低下を大きく引き起こす。
• 攻撃はブラックボックス設定下でも有効で転移性を示す：YOLO で学習したパッチは Faster R-CNN を欺くことができ、逆も可能；COCO 訓練済みパッチは VOC 訓練済み検出器にも転移する。
• パッチの位置は二段階および一段階の検出器にとってほとんど重要ではない。提案領域は画像全体を横断してスキャンされるため、パッチが RoIs を支配することができる。