[論文レビュー] Dual Attention Suppression Attack: Generate Adversarial Camouflage in Physical World

Jiakai Wang, Aishan Liu+4 more|arXiv (Cornell University)|Mar 1, 2021

Adversarial Robustness in Machine Learning参考文献 45被引用数 13

ひとこと要約

本稿では、モデル共有の注目度と人間のボトムアップ注目度の両方を抑制することで、転送性と視覚的自然性を向上させる、新しい物理的 adversarial 攻撃である Dual Attention Suppression (DAS) を提案する。モデル間の共有注目パターンを攪乱し、キャンマフラージュをシーンの文脈に一致させることで、DAS は高い転送性と視覚的に自然な adversarial キャンマフラージュを生成し、デジタルおよび物理的環境下の分類および検出タスクにおいて、SOTA メソッドを上回る性能を発揮する。

ABSTRACT

Deep learning models are vulnerable to adversarial examples. As a more threatening type for practical deep learning systems, physical adversarial examples have received extensive research attention in recent years. However, without exploiting the intrinsic characteristics such as model-agnostic and human-specific patterns, existing works generate weak adversarial perturbations in the physical world, which fall short of attacking across different models and show visually suspicious appearance. Motivated by the viewpoint that attention reflects the intrinsic characteristics of the recognition process, this paper proposes the Dual Attention Suppression (DAS) attack to generate visually-natural physical adversarial camouflages with strong transferability by suppressing both model and human attention. As for attacking, we generate transferable adversarial camouflages by distracting the model-shared similar attention patterns from the target to non-target regions. Meanwhile, based on the fact that human visual attention always focuses on salient items (e.g., suspicious distortions), we evade the human-specific bottom-up attention to generate visually-natural camouflages which are correlated to the scenario context. We conduct extensive experiments in both the digital and physical world for classification and detection tasks on up-to-date models (e.g., Yolo-V5) and significantly demonstrate that our method outperforms state-of-the-art methods.

研究の動機と目的

• モデル固有の摂動による物理的 adversarial 攻撃の転送性が限定的であるという問題に対処すること。
• 既存の adversarial キャンマフラージュが人間の注目を引き、不審に見えるという問題を克服すること。
• 物理的環境への展開において、adversarial 例の現実性とステルス性を向上させること。
• 複数のモデル間の共有注目度パターンと人間の知覚メカニズムを活用して、より効果的な攻撃を実現すること。
• 実世界のシナリオにおいて、高い攻撃成功率と高い視覚的自然性の両立を図る手法を開発すること。

提案手法

• DAS 攻撃は二重損失フレームワークを採用する：モデル注目度の攪乱損失により、複数のモデル間で共有される注目パターンを抑制し、注目をターゲット領域から非ターゲット領域へと再配分する。
• 連結グラフに基づく最適化を用いて注目度を再配分し、YOLOv5、ResNet、DenseNet などの多様なモデル間での転送性を確保する。
• 人間の注目回避損失を導入し、シーンの文脈との意味的整合性を保つことで、摂動のサリエンシーを最小限に抑える。
• 環境に高い意味的関連性を持つシードパッチの形状とコンテンツを保持することで、視覚的不自然さを低減する。
• ハイパーパrameter λ により、攻撃成功率と視覚的類似度のトレードオフを制御し、SSIM を自然性の代理指標として用いる。
• 注目攪乱、人間の注目回避、滑らかさ項を組み合わせた複合損失を用いて、エンドツーエンドで最適化する。

実験結果

リサーチクエスチョン

• RQ1 複数のモデル間で共有される注目パターンを抑制することで、物理的 adversarial 攻撃の転送性が向上するか？
• RQ2 人間のボトムアップ視覚的注目を回避することで、adversarial キャンマフラージュの視覚的自然性が向上するか？
• RQ3 モデルに依存しない注目度抑制と文脈に配慮したキャンマフラージュ生成を組み合わせることで、より効果的かつステルス性の高い物理的攻撃が得られるか？
• RQ4 攻撃成功率と視覚的類似度のバランスが、adversarial キャンマフラージュの性能にどのように影響するか？
• RQ5 提案手法は、多様なモデルとタスクにおいて、デジタルおよび物理的環境下の両方で SOTA ベースラインを上回るか？

主な発見

• DAS 攻撃は、組み合わせ損失設定下で Inception-V3 で 39.86%、DenseNet で 55.42% の攻撃成功率を達成し、ベースライン手法を顕著に上回った。
• λ = 10⁻⁵ の場合、adversarial 画像とクリーン画像間の SSIM が 0.7551 に達し、強い視覚的自然性を示した。
• 人間の注目回避損失のみを適用しても、Inception-V3 で 59.87%、DenseNet で 75.07% の攻撃精度が向上し、その有効性が裏付けられた。
• λ を 10⁻⁵ から 10⁻¹ に増加させると、SSIM は 0.7034 から 0.9998 に上昇し、より高い λ が視覚的類似度を向上させるが、攻撃性能に悪影響を及えることが確認された。
• アブレーションスタディにより、モデル注目度攪乱損失が転送性に不可欠であり、人間の注目回避損失が視覚的自然性に不可欠であることが確認された。
• 本手法は、YOLOv5、ResNet、Inception-V3 など多様なモデルにおいて、ブラックボックス物理的環境下でも優れた一般化性能を示した。