[論文レビュー] Making an Invisibility Cloak: Real World Adversarial Attacks on Object Detectors

Zuxuan Wu, Ser-Nam Lim+2 more|arXiv (Cornell University)|Oct 31, 2019

Adversarial Robustness in Machine Learning参考文献 36被引用数 14

ひとこと要約

本論文は、印刷されたポスターと着用可能な衣類を用いたオブジェクト検出器に対する実世界の adversarial 攻撃の体系的検討を提示し、慎重に設計されたパッチが物理的条件下でも最先端の検出器（YOLOv2 や Faster R-CNN）を効果的に回避できることを示している。主な貢献は、モデル、データセット、実世界の歪みの間での転送性を定量化することであり、物理的変形や画像アーティファクトが存在する中でも、着用パッチでは最大50%の成功率で検出器の性能が低下することを示している。

ABSTRACT

We present a systematic study of adversarial attacks on state-of-the-art object detection frameworks. Using standard detection datasets, we train patterns that suppress the objectness scores produced by a range of commonly used detectors, and ensembles of detectors. Through extensive experiments, we benchmark the effectiveness of adversarially trained patches under both white-box and black-box settings, and quantify transferability of attacks between datasets, object classes, and detector models. Finally, we present a detailed study of physical world attacks using printed posters and wearable clothes, and rigorously quantify the performance of such attacks with different metrics.

研究の動機と目的

• デジタルシミュレーションから実世界の物理的展開への adversarial 攻撃の転送性を調査すること。
• 複数の検出器、データセット、オブジェクトクラスにおいて、ブラックボックスおよびホワイトボックス設定下での adversarial パッチの有効性を評価すること。
• 照明、カメラ歪み、生地の変形などの実世界の不快要因が攻撃性能に与える影響を特定および定量化すること。
• 着用可能な衣類および印刷されたポスターに物理的に耐性のある adversarial パatters を開発・テストし、成功率と AP の低下を測定すること。
• 実世界環境下での先進的な攻撃手法（例：TPS、アンサンブル学習）のパフォーマンスをベンチマークし、単純なベースライン手法と比較すること。

提案手法

• YOLOv2、Faster R-CNN、FCOS を含む複数のオブジェクト検出器のオブジェクトネススコアを抑えるように、慎重に構築された目的関数を用いて adversarial パッチを訓練した。
• デジタルシミュレーションと印刷されたポスターおよび着用可能なシャツを用いた物理実験を組み合わせて、実世界の条件下での転送性を評価した。
• 生地のしわや伸縮などの物理的変形に対する耐性を向上させるために、Thin-Plate Spline（TPS）変換などのデータ拡張技術を適用した。
• カメラの角度、距離、照明条件の変動を想定し、標準指標（平均適合度）と解釈可能な成功／失敗率の両方を用いて攻撃の成功率を測定した。
• 紙人形を用いた制御実験により、カメラの後処理、ピクセル化、圧縮が攻撃性能に与える影響を分離して評価した。
• パッチのタイリング、境界の反射、アンサンブル学習などの複数の攻撃戦略を比較し、物理的環境下での耐性に与える影響を評価した。

実験結果

リサーチクエスチョン

• RQ1 YOLOv2 や Faster R-CNN などの検出器で訓練された adversarial パッチが、他の検出器へデジタルおよび物理的条件下でどの程度転送可能か？
• RQ2 カメラの圧縮、ピクセル化、後処理などの実世界の画像効果が、adversarial 攻撃のパフォーマンスにどのように影響するか？
• RQ3 着用可能な衣類に印刷された adversarial パターンが、複雑な変形および変動する視認条件下でもオブジェクト検出器を効果的に回避できるか？
• RQ4 TPS や反射タイリングなどの異なるデータ拡張戦略が、adversarial パッチの物理的環境下での耐性にどのように影響するか？
• RQ5 モデルアーキテクチャ、データセット、オブジェクトクラスが、adversarial 攻撃の転送性に与える相対的影響は何か？

主な発見

• COCO データセットで訓練された adversarial パッチは、デジタルおよび物理的条件下で YOLOv2 および Faster R-CNN 検出器を効果的に回避でき、着用シャツでは最大50%の成功率に達した。
• 物理的環境下のパフォーマンスはデジタルシミュレーションに比べ顕著に低下しており、主にカメラの後処理、ピクセル化、圧縮が性能低下の主な要因であると特定された。
• Yolov2 パッチを用いた着用攻撃は、印刷されたポスターの攻撃よりも高い成功率を示し、生地のテクスチャや変形が攻撃効果を維持するために効果的に活用できることが示された。
• シャツ全体をカバーするようにパッチをタイリングまたは反射させても性能に悪影響を及げず、むしろ攻撃効果を維持する助けになった。ただし、このような構成は明示的に訓練されていなかった。
• トレーニング時に非剛性の TPS 変換を使用しても、物理的環境下での転送性は向上せず、むしろ性能が低下した。これはトレーニングの不安定性や変形パターンへの過学習のためと推定された。
• FCOS は他の検出器と比較して物理的攻撃に対してより高い耐性を示した。これは、トレーニングデータに衣類のテクスチャが豊富に含まれているため、その影響をより敏感に捉えている可能性がある。