[論文レビュー] Flickering Adversarial Attacks against Video Recognition Networks

Itay Naeh, Roi Pony+1 more|arXiv (Cornell University)|Feb 12, 2020

Adversarial Robustness in Machine Learning参考文献 15被引用数 1

ひとこと要約

本稿では、わずかに認識可能な時間変動する摂動を用いて、動画認識モデル内の時間的不一致を悪用するフレイクイング敵対的攻撃を提案する。これらの摂動を動画全体に普遍的に適用し、時間的に不変にすることで、最小限の入力データで現実世界の設定において高い欺瞒率を達成し、シミュレーションと実用的展開の間のギャップを埋める。

ABSTRACT

Deep neural networks for video classification, just like image classification networks, may be subjected to adversarial manipulation. The main difference between image classifiers and video classifiers is that the latter usually use temporal information contained within the video. In this work we present a manipulation scheme for fooling video classifiers by introducing a flickering temporal perturbation that is practically unnoticeable by human observers and is implementable in the real world. After demonstrating the manipulation of action classification of single videos, we generalize the procedure to make universal adversarial perturbation by using only dozens of videos, achieving high fooling ratio. In addition, we generalize the universal perturbation and produce a temporal-invariant perturbation, which can be applied to the video without synchronizing the perturbation to the input. These properties allow us to bridge the gap between simulated environment and real-world application.

研究の動機と目的

• 動画分類モデル内の時間的ダイナミクスを悪用する敵対的攻撃を開発すること。
• 人間には認識できないが、動画分類器を欺くのに効果的な摂動を作成すること。
• 数十枚の動画のみを用いて、単一動画の攻撃を普遍的摂動に一般化すること。
• 入力動画のタイミングと同期が不要な時間的に不変の摂動を設計すること。

提案手法

• 人間の観察者に検出されないよう、フレーム間を急速に交互に入れ替えるフレイクイング時間的摂動を導入する。
• 勾配ベースの最適化を用いて、動画モデルにおける誤分類を最大化する敵対的摂動を生成する。
• 少数の動画セットを通じて普遍的摂動を学習し、未観測の動画へも転送可能にする。
• 摂動を入力動画のタイミングから分離することで時間的に不変の摂動を構築し、同期が不要な応用を可能にする。

実験結果

リサーチクエスチョン

• RQ1 フレイクイング時間的摂動は、人間にはほとんど認識されないままに動画認識モデルを効果的に欺けるか？
• RQ2 最小限の学習データ（数十枚の動画）で普遍的敵対的摂動を学習できるか？
• RQ3 タイミング同期が不要な時間的に不変の摂動を構築できるか？
• RQ4 これらの攻撃は、異なる動画認識モデルにどの程度一般化できるか？

主な発見

• 提案されたフレイクイング摂動は、人間観測者にはほとんど認識されないままに、動画分類モデルに対して高い欺瞒率を達成する。
• わずか数十枚の動画を用いても、普遍的敵対的摂動が成功裏に学習可能であり、データ要件を顕著に削減する。
• 時間的に不変の摂動は、入力動画のタイミングと同期が不要なため、現実世界への適用可能性が向上する。
• 異なる動画認識アーキテクチャ間で強い転送性を示しており、強靭性と一般化性が確認された。