[論文レビュー] Making Images Undiscoverable from Co-Saliency Detection.

Ruijun Gao, Qing Guo+5 more|arXiv (Cornell University)|Sep 19, 2020

Adversarial Robustness in Machine Learning被引用数 18

ひとこと要約

本稿では、共通顕著度検出（CoSOD）のためのブラックボックス敵対的攻撃であるJadenaを提案する。この手法は、高レベル特徴における対照感受性損失を用いて、画像の露出と局所的ノイズを同時に最適化し、顕著な物体が検出不能になるようにする。本手法は、ターゲットモデルへのアクセスを必要とせず、CoSODベンチマーク全体で顕著な性能低下を達成し、共通顕著度手法による機密コンテンツの抽出から効果的に保護する。

ABSTRACT

In recent years, co-saliency object detection (CoSOD) has achieved significant progress and played a key role in the retrieval-related tasks, e.g., image retrieval and video foreground detection. Nevertheless, it also inevitably posts a totally new safety and security problem, i.e., how to prevent high-profile and personal-sensitive contents from being extracted by the powerful CoSOD methods. In this paper, we address this problem from the perspective of adversarial attack and identify a novel task, i.e., adversarial co-saliency attack: given an image selected from an image group containing some common and salient objects, how to generate an adversarial version that can mislead CoSOD methods to predict incorrect co-salient regions. Note that, compared with general adversarial attacks for classification, this new task introduces two extra challenges for existing whitebox adversarial noise attacks: (1) low success rate due to the diverse appearance of images in the image group; (2) low transferability across CoSOD methods due to the considerable difference between CoSOD pipelines. To address these challenges, we propose the very first blackbox joint adversarial exposure & noise attack (Jadena) where we jointly and locally tune the exposure and additive perturbations of the image according to a newly designed high-feature-level contrast-sensitive loss function. Our method, without any information of the state-of-the-art CoSOD methods, leads to significant performance degradation on various co-saliency detection datasets and make the co-salient objects undetectable, which can be strongly practical in nowadays where large-scale personal photos are shared on the internet and should be properly and securely preserved.

研究の動機と目的

• 共通顕著度検出（CoSOD）手法が機密または注目度の高いコンテンツを露呈するという新たなセキュリティリスクに対処すること。
• 敵対的共通顕著度攻撃という新たな攻撃パラダイムの同定と形式化：敵対的摂動がCoSODモデルを誤った顕著領域を検出させるように誘導するもの。
• この新しいタスクにおける2つの主要な課題に取り組むこと：画像の多様性による低成功率と、異なるCoSODパイプライン間での低移譲性。
• ターゲットCoSODモデルのアクセスを一切不要とするブラックボックス手法の開発により、実世界のシナリオにおける実用的応用を確保すること。

提案手法

• 共通顕著度検出のための新規ブラックボックス敵対的攻撃フレームワークであるJadenaを提案する。
• 局所的に画像の露出と加法的摂動を同時に最適化し、敵対的効果を最大化する。
• 共通顕著領域における意味的・構造的差異に高い感受性を示す、高レベル特徴における対照感受性損失関数を採用する。
• この損失関数は、共通顕著度検出の文脈において、元の画像と敵対的画像の特徴の差異を最大化するように設計されている。
• この手法は完全にブラックボックス設定で動作し、ターゲットCoSODモデルのアーキテクチャや勾配情報が一切不要である。
• 攻撃はエンドツーエンドで学習可能であり、多様なCoSODデータセットおよびパイプラインで有効である。

実験結果

リサーチクエスチョン

• RQ1 ターゲットモデルのアーキテクチャや勾配情報が入手不可である状況でも、ブラックボックス敵対的攻撃が共通顕著度検出を効果的に混乱させることができるか？
• RQ2 露出とノイズの両方を同時に最適化することで、CoSODモデルの失敗を最大限に引き出す敵対的摂動をどのように実現できるか？
• RQ3 提案された高レベル特徴における対照感受性損失は、標準的な損失関数と比較してどの程度攻撃成功率を向上させるか？
• RQ4 異なるアーキテクチャや学習パイプラインを持つさまざまなCoSOD手法に、この攻撃はどの程度移譲性を示すか？
• RQ5 グループ内の画像が外観面で著しく異なる場合でも、共通顕著な物体を信頼性高く検出不能にできるか？

主な発見

• Jadenaは、複数のCoSODベンチマークデータセットで顕著な性能低下を達成し、共通顕著な物体を検出不能にした。
• 入力グループ内の画像外観の多様性にもかかわらず、攻撃は高い成功率を示した。
• 異なるCoSODパイプライン間での高い移譲性を示し、アーキテクチャの違いに対しても頑健であることがわかった。
• 高レベル特徴における対照感受性損失は、効果的な攻撃性能を実現するために不可欠であり、標準損失関数を上回った。
• ブラックボックス性のおかげで、モデル情報が入手不可な実世界のシナリオでも実用的かつ容易に展開可能である。
• 本手法は、モデル固有の知識を一切必要とせず、さまざまな最先端のCoSODモデルを効果的に検出回避した。