[論文レビュー] Dynamic Adversarial Patch for Evading Object Detection Models

Shahar Hoory, Tzvika Shapira+2 more|arXiv (Cornell University)|Oct 25, 2020

Adversarial Robustness in Machine Learning参考文献 42被引用数 28

ひとこと要約

本論文では、車両に取り付けた複数のスクリーンを用いて、カメラの位置に応じて最適化された adversarial パッチをリアルタイムで切り替える動的 adversarial パッチ攻撃を提案する。この手法により、YOLOv2 のオブジェクト検出器に対する回避成功率が顕著に向上し、90°の視野角範囲で最大90%の攻撃成功率を達成した。また、車両を意味的に関連のない物体（例：人）に誤検出させるようにするセマンティック損失を用いることで、耐性を高めた。

ABSTRACT

Recent research shows that neural networks models used for computer vision (e.g., YOLO and Fast R-CNN) are vulnerable to adversarial evasion attacks. Most of the existing real-world adversarial attacks against object detectors use an adversarial patch which is attached to the target object (e.g., a carefully crafted sticker placed on a stop sign). This method may not be robust to changes in the camera's location relative to the target object; in addition, it may not work well when applied to nonplanar objects such as cars. In this study, we present an innovative attack method against object detectors applied in a real-world setup that addresses some of the limitations of existing attacks. Our method uses dynamic adversarial patches which are placed at multiple predetermined locations on a target object. An adversarial learning algorithm is applied in order to generate the patches used. The dynamic attack is implemented by switching between optimized patches dynamically, according to the camera's position (i.e., the object detection system's position). In order to demonstrate our attack in a real-world setup, we implemented the patches by attaching flat screens to the target object; the screens are used to present the patches and switch between them, depending on the current camera location. Thus, the attack is dynamic and adjusts itself to the situation to achieve optimal results. We evaluated our dynamic patch approach by attacking the YOLOv2 object detector with a car as the target object and succeeded in misleading it in up to 90% of the video frames when filming the car from a wide viewing angle range. We improved the attack by generating patches that consider the semantic distance between the target object and its classification. We also examined the attack's transferability among different car models and were able to mislead the detector 71% of the time.

研究の動機と目的

• 実世界のオブジェクト検出攻撃において、静的 adversarial パッチの限界的な耐性（特にカメラの視点角度の変化や平らでない3次元オブジェクト、例：車両）を是正すること。
• 視点角度が変化する、あるいはパッチが特定の視点から見えない場合に、従来の物理的攻撃が失敗する問題を克服すること。
• カメラの位置に応じてリアルタイムで適応する動的で、カメラ位置を認識する攻撃システムを構築し、高い回避成功率を維持すること。
• 損失関数を変更して、意味的に関連のないクラス（例：車 → 人）を標的とすることで、攻撃の転送性とセマンティック誤分類を向上させること。
• 自律走行車両などの安全が重要なシステムにおける、動的スクリーンを用いた実世界の adversarial 攻撃の実現可能性を実証すること。

提案手法

• 車両に複数のフラットスクリーンを設置し、それぞれが特定のカメラ視点角度に最適化された adversarial パッチを表示する動的パッチ展開を実装する。
• 特定の視点角度に最適化されたパッチを生成するための adversarial 学習アルゴリズムを用い、広い角度範囲（90°）で高い攻撃成功率を確保する。
• リアルタイムのカメラ位置データに基づいて、パッチの切り替えを動的に制御し、常に検出器に最も効果的なパッチが表示されるようにする。
• 意味的関連のないクラス（例：車 → 人）に誤検出させるように促進するセマンティック adversarial 損失関数を導入し、攻撃の不審さを低下させ、効果を高める。
• 実世界の実験において、動的パッチ表示をシミュレートするために物理的スクリーンを用い、カメラ位置の変化に応じたリアルタイムの適応を可能にする。
• 照明条件の変化（例：日差しの強い屋外 vs. 屋内）を想定した評価を行い、環境への耐性を評価する。

実験結果

リサーチクエスチョン

• RQ1 静的パッチと比較して、動的 adversarial パッチシステムは広い視野角範囲でオブジェクト検出器の回避成功率を向上させることができるか？
• RQ2 スクリーン数やパッチ数が、動的カメラ移動下での攻撃成功率と耐性に与える影響は何か？
• RQ3 パッチが常に可視でない場合でも、非平面な3次元オブジェクト（例：車両）を標的とした攻撃が、高い成功率を維持できるか？
• RQ4 意味的関連のないクラスに誤検出させるようにするセマンティック損失関数を用いることで、攻撃の効果性と転送性が向上するか？
• RQ5 環境照明（例：直射日光）が、動的 adversarial パッチの実世界での効果に与える影響は何か？

主な発見

• 動的 adversarial パッチ攻撃は、さまざまな角度から撮影した映像において、YOLOv2 オブジェクト検出器を欺く成功率が最大90%に達した。
• 攻撃は正面および後方視点で最も効果的であった（図9）。一方、側方視点では失敗した（図8）ことから、視点依存の性能を示した。
• 日差しの強い屋外環境では、スクリーンの反射や直射日光による明るさの増加により、カメラが過剰に明るく映る（「ブライトネスブロブ」）ことが原因で、攻撃成功率が15–23.2%に低下した。
• セマンティック adversarial パッチ手法により、車両が意味的に関連のない物体（例：人）に誤検出されることが実証され、検出や疑いの可能性が低下した。
• 異なる車両モデル間での攻撃の転送性は71%であった。これは、同形状の未観測車両に対しても中程度の一般化能力を示している。
• デジタルシミュレーションでは、車両の後部を15%程度カバーするスクリーンでも、動画フレームで90%の攻撃成功率を達成できることが示された。