[論文レビュー] Evading Real-Time Person Detectors by Adversarial T-shirt.

Kaidi Xu, Gaoyuan Zhang+7 more|arXiv (Cornell University)|Oct 18, 2019

Adversarial Robustness in Machine Learning参考文献 19被引用数 18

ひとこと要約

本論文は、身体の動きに起因する変形に対してもリアルタイムの人物検出器を回避できる敵対的Tシャツを提案する。変形に強い最適化を用いることで、攻撃効果を維持する。シミュレーションでは79%の成功率を達成し、物理的展開ではYOLOv2に対して63%の成功率を示し、先行する最先端手法よりも35ポイント以上優れている。

ABSTRACT

It is known that deep neural networks (DNNs) could be vulnerable to adversarial attacks. The so-called physical adversarial examples deceive DNN-based decision makers by attaching adversarial patches to real objects. However, most of the existing works on physical adversarial attacks focus on static objects such as glass frame, stop sign and image attached to a cardboard. In this work, we proposed adversarial T-shirt, a robust physical adversarial example for evading person detectors even if it suffers from deformation due toa moving person's pose change. To the best of our knowledge, the effect of deformation is first modeled for designing physical adversarial examples with respect to non-rigid objects such as T-shirts. We show that the proposed method achieves 79% and 63% attack success rates in digital and physical worlds respectively against YOLOv2. In contrast, the state-of-the-art physical attack method to fool a person detector only achieves 27% attack success rate. Furthermore, by leveraging min-max optimization, we extend our method to the ensemble attack setting against object detectors YOLOv2 and Faster R-CNN simultaneously.

研究の動機と目的

• 非剛体で変形しやすい物体（Tシャツなど）に対する、物理的で頑健な敵対的例を設計する課題に対処すること。
• 人物検出器に対する物理的敵対的攻撃におけるポーズに起因する変形の影響をモデル化すること。
• 静的物体を対象としている既存手法と比較して、現実世界での展開における攻撃成功率を向上させること。
• YOLOv2やFaster R-CNNを含む複数の検出器に対するアンサンブル攻撃へのアプローチの拡張。
• 動的環境下でのウェアラブル衣類に効果的な敵対的例を展開する可能性を実証すること。

提案手法

• 動きのある人物におけるポーズ変化を考慮した変形に強い最適化プロセスを定式化し、Tシャツに印刷された敵対的パターンが異なる身体のポーズでどのように変形するかをモデル化する。
• さまざまな変形に耐えうるよう、効果的な敵対的パターンを生成するためのミニマックス最適化フレームワークを採用し、現実世界での展開に耐える頑健性を確保する。
• 3次元Tシャツメッシュ上でパターンを最適化することで、人体の動きに起因する現実的な変形をシミュレートした敵対的Tシャツを生成する。
• 異なるカメラの視点から動きのある人物にどのように敵対的パターンが見えるかをシミュレートするため、微分可能レンダリングパイプラインを統合する。
• ミニマックス定式化を用いて、YOLOv2とFaster R-CNNの両方を同時に攻撃するように、複数の検出器を統合したアンサンブル攻撃に拡張する。
• 微分可能なレンダラーを用いて、画像形成プロセスを逆伝播可能にし、敵対的パターンのエンドツーエンド学習を可能にする。

実験結果

リサーチクエスチョン

• RQ1 Tシャツのようなウェアラブル衣類に印刷された敵対的パターンは、人体の動きに起因する顕著な変形に対しても、依然として効果を発揮できるか？
• RQ2 敵対的パターン生成時に変形をモデル化することで、静的物体を対象とした攻撃と比較して、物理世界での攻撃成功率がどのように向上するか？
• RQ3 提案手法は、物理世界で複数のオブジェクト検出器を同時に高い成功率で回避できるか？
• RQ4 敵対的Tシャツにおいて、デジタルシミュレーションと現実世界での展開との間には、どの程度の性能ギャップが生じるか？
• RQ5 ミニマックス最適化戦略は、多様な検出器や変形シナリオにおいて、どのように頑健性を向上させるか？

主な発見

• 敵対的Tシャツは、YOLOv2に対するデジタルシミュレーションで79%の攻撃成功率を達成し、先行する最先端手法を著しく上回っている。
• 物理世界での展開において、63%の攻撃成功率を達成しており、これは過去最高の手法よりも35ポイント以上も高い。
• 本手法は、人体の動きに起因する変形に対して頑健であることが実証され、パターン生成時に明示的に変形をモデル化している。
• ミニマックス最適化フレームワークにより、効果的なアンサンブル攻撃が可能となり、YOLOv2とFaster R-CNNの両方を同時に回避できた。
• 本研究は、非剛体でウェアラブルな物体に対する物理的敵対的攻撃において、変形に強い設計が不可欠であるという初の証拠を提供している。
• 結果から、攻撃生成プロセス中に変形をモデル化することで、物理世界での攻撃成功率が著しく向上することが確認された。