[論文レビュー] Fooling Object Detectors: Adversarial Attacks by Half-Neighbor Masks

Yanghao Zhang, Wang Fu+1 more|arXiv (Cornell University)|Jan 4, 2021

Adversarial Robustness in Machine Learning参考文献 16被引用数 5

ひとこと要約

本稿では、厳密な ℓ₀ 制約（≤2% ピxls、≤10 個の連結領域）の下で効果的でスパースな adversarial 例を生成するため、半隣接マスク付きの摂動を用いた、オブジェクト検出器向けの新しい adversarial 攻撃手法 HNM-PGD を提案する。この手法は、サリエンシー誘導型マスク生成とプロジェクテッド・グラディエント・ディセント（PGD）を用いて、最適な摂動領域を自動で同定する。CIKM 2020 AnalytiCup 競争で上位 1% の成績を収め、検出器の脆弱性を露呈する意味的意味のある摂動を明らかにした。

ABSTRACT

Although there are a great number of adversarial attacks on deep learning based classifiers, how to attack object detection systems has been rarely studied. In this paper, we propose a Half-Neighbor Masked Projected Gradient Descent (HNM-PGD) based attack, which can generate strong perturbation to fool different kinds of detectors under strict constraints. We also applied the proposed HNM-PGD attack in the CIKM 2020 AnalytiCup Competition, which was ranked within the top 1% on the leaderboard. We release the code at https://github.com/YanghaoZYH/HNM-PGD.

研究の動機と目的

• 摂動のスパarsity と連結性に厳密な ℓ₀ 制約を課した状況下で、実用的で自動化されたオブジェクト検出器向け adversarial 攻撃フレームワークの開発。
• 自律走行や本人確認など、高セキュリティな応用でますます広がるオブジェクト検出システムを標的とした有効な adversarial 攻撃の不足に応えること。
• スパースかつ意味的に整合性のある adversarial パッチを生成し、検出器の脆弱性に関する洞察を提供すること。
• 制限された摂動予算の下で攻撃成功率を向上させつつ、未観測モデルへの高い転送性を維持すること。

提案手法

• 摂動に最も影響を与える画像領域を同定するために、SmoothGrad を用いたサリエンシー地図を採用する。
• サリエンシー地図に対して段階的な形の操作を繰り返し適用することで、半隣接（HN）マスクを構築し、連結性とスパarsity の制約を満たす。
• 制御パラメータ φ を用いて、サリエンシーと制約適合性のバランスを動的に調整する。
• 摂動を制限する領域に限定するために、要素ごとのマスク乗算を施したプロジェクテッド・グラディエント・ディセント（PGD）により、adversarial ノイズを生成する。
• YOLOv4 と Faster R-CNN の両方の損失関数を統合して使用する共同損失を用いて、白ボックス設定で攻撃を実行し、転送性を向上させる。
• 適応的ステップサイズと反復回数を最適化し、データ拡張を適用することで、ブラックボックス一般化を向上させる。

実験結果

リサーチクエスチョン

• RQ1 手動設計を伴わず、オブジェクト検出器向けに効果的かつ自動的に ℓ₀ 制約付き adversarial 攻撃を生成できるか？
• RQ2 連結性とスパarsity の制約が、オブジェクト検出における adversarial パッチの成功率と転送性にどのように影響するか？
• RQ3 ℓ₀ 制約下での adversarial 推論が、モデルの弱みを露呈する意味的意味のあるパターンを示すか？
• RQ4 提案手法は、厳密な制約下で実世界のベンチマーク（例：CIKM 2020 AnalytiCup）において高い性能を達成できるか？

主な発見

• HNM-PGD 攻撃は、CIKM 2020 AnalytiCup で最終スコア 2414.87 を記録し、1,000 人以上のチーム中 17 位と上位 1% 内にランクインした。
• ≤2% の摂動ピxls と ≤10 個の連結領域という ℓ₀ 制約下で、YOLOv4 と Faster R-CNN の両方を効果的にだますことに成功した。
• Faster R-CNN は、信頼度閾値が低い（0.3）ため、ピxls バジェットが大きいほど高い性能を示したが、YOLOv4 の性能は約 53 スコアポイントで安定していた。
• 本手法は、感覚的なオブジェクト部分を標的にした明確な意味的コンテンツを含む adversarial パッチを生成し、サリエンシーと検出器脆弱性との間に深い関連性があることを示唆した。
• データ拡張（例：反転、クロッピング）の適用により、ブラックボックスモデルへの一般化が向上し、転送性が向上した。
• 直線形状の摂動が、ブロック形状のものよりも効果的であることが判明した。これは、畳み込みカーネル出力の広範囲に影響を与える能力に起因する。