[論文レビュー] Patch Attack for Automatic Check-out

Aishan Liu, Jiakai Wang+4 more|arXiv (Cornell University)|May 19, 2020

Adversarial Robustness in Machine Learning参考文献 16被引用数 2

ひとこと要約

本稿では、自動精算（ACO）システム向けに強力な一般化性能を示すクラスに依存しないユニバーサル adversarial パッチを生成するバイアスベースのフレームワークを提案する。視覚的バイアスをテクスチャに敏感なハード例を用いて、およびクラスごとのプロトタイプを通じて意味的バイアスを活用することで、多様なデジタルおよび物理的環境において、最先端の手法を上回る優れた攻撃成功率を達成する。

ABSTRACT

Adversarial examples are inputs with imperceptible perturbations that easily misleading deep neural networks(DNNs). Recently, adversarial patch, with noise confined to a small and localized patch, has emerged for its easy feasibility in real-world scenarios. However, existing strategies failed to generate adversarial patches with strong generalization ability. In other words, the adversarial patches were input-specific and failed to attack images from all classes, especially unseen ones during training. To address the problem, this paper proposes a bias-based framework to generate class-agnostic universal adversarial patches with strong generalization ability, which exploits both the perceptual and semantic bias of models. Regarding the perceptual bias, since DNNs are strongly biased towards textures, we exploit the hard examples which convey strong model uncertainties and extract a textural patch prior from them by adopting the style similarities. The patch prior is more close to decision boundaries and would promote attacks. To further alleviate the heavy dependency on large amounts of data in training universal attacks, we further exploit the semantic bias. As the class-wise preference, prototypes are introduced and pursued by maximizing the multi-class margin to help universal training. Taking AutomaticCheck-out (ACO) as the typical scenario, extensive experiments including white-box and black-box settings in both digital-world(RPC, the largest ACO related dataset) and physical-world scenario(Taobao and JD, the world' s largest online shopping platforms) are conducted. Experimental results demonstrate that our proposed framework outperforms state-of-the-art adversarial patch attack methods.

研究の動機と目的

• 既存の adversarial パッチ攻撃には一般化が不足しており、しばしば入力に依存し、未学習のクラスでは失敗するという問題に対処する。
• ユニバーサル攻撃の訓練における過剰なデータ依存を、モデルの内在的バイアスを活用することで克服する。
• 実世界の自動精算システムに適用可能な、頑健でクラスに依存しないユニバーサル adversarial パッチ生成手法を開発する。
• デジタル（例：RPC データセット）および物理的環境（例：Taobao、JD）への展開において、攻撃効果を向上させる。
• 深層ニューラルネットワークに内在する視覚的および意味的バイアスを活用することで、攻撃成功率を向上させる。

提案手法

• モデルの不確実性が高いために識別境界に近いと予想されるハード例を特定し、スタイル類似性に基づくテクスチャパッチ事前情報を抽出することで、決定境界に近づける。
• DNN がテクスチャに固有のバイアスを有するため、テクスチャベースの特徴に注目することで、攻撃の転送性を向上させる。
• クラスごとのプロトタイプを導入し、意味的バイアスをモデル化する。訓練中にマルチクラスマージン最大化を最適化する。
• 視覚的および意味的バイアスのコンポonentを統合し、広範な一般化性能を持つユニバーサル adversarial パッチを生成する統一フレームワークを構築する。
• すべてのクラスにわたる決定境界への近接性とマージン最大化のバランスを取る損失関数を用いて、ユニバーサルパッチを訓練する。
• 生成されたパッチを、デジタル（RPC）および物理的環境（Taobao、JD）の両方の白ボックスおよびブラックボックス設定で展開し、頑健性を検証する。

実験結果

リサーチクエスチョン

• RQ1 訓練時に未確認のクラスを含むすべてのクラスに一般化できるユニバーサル adversarial パッチを生成できるか？
• RQ2 特にテクスチャベースの特徴に注目することで、視覚的バイアスを活用すると、adversarial パッチの転送性と効果がどのように向上するか？
• RQ3 クラスごとのプロトタイプでモデル化された意味的バイアスは、どの程度データ依存性を低減し、ユニバーサル攻撃のパフォーマンスを向上させるか？
• RQ4 本手法のフレームワークは、既存の手法と比較して、実世界の物理的環境でどの程度の性能を示すか？
• RQ5 視覚的バイアスと意味的バイアスの相対的な寄与度は、ユニバーサル adversarial パッチの頑健性と一般化性能を向上させる上で、どの程度か？

主な発見

• 本フレームワークは、RPC データセットにおいて白ボックスおよびブラックボックス設定の両方で、最先端の手法を上回る高い攻撃成功率を達成した。
• 本手法は強力な一般化性能を示し、訓練時に未確認のクラスの画像に対しても効果的に攻撃した。
• 視覚的および意味的バイアスの統合は、大規模な訓練データへの依存を低減させながら、攻撃パフォーマンスを顕著に向上させた。
• Taobao および JD における物理的環境評価では、ユニバーサル adversarial パッチが高い攻撃成功率を維持し、実用的妥当性を裏付けた。
• スタイル類似性に基づくテクスチャパッチ事前情報の使用により、決定境界への近接性が向上し、攻撃効果が強化された。
• プロトタイプによるマルチクラスマージン最大化により、多様なクラスにわたるユニバーサルパッチの頑健性と一般化性能が向上した。