[論文レビュー] Patternless Adversarial Attacks on Video Recognition Networks

Itay Naeh, Roi Pony+1 more|arXiv (Cornell University)|Feb 12, 2020

Adversarial Robustness in Machine Learning被引用数 2

ひとこと要約

本論文は、人間の視認が困難で現実世界でも実現可能な、パターンのないフレイキング時間的摂動を用いた動画認識モデル向けの新規な敵対的攻撃を提案する。この手法は、普遍的かつ時間的に不変の摂動を用いて高い欺瞞率を達成し、モデル間での転送性を示し、シミュレーションとオーバーザエア（空中）での実装の間のギャップを埋めることを示している。

ABSTRACT

Deep neural networks for video classification, just like image classification networks, may be subjected to adversarial manipulation. The main difference between image classifiers and video classifiers is that the latter usually use temporal information contained within the video. In this work we present a manipulation scheme for fooling video classifiers by introducing a flickering temporal perturbation that is practically unnoticeable by human observers and is implementable in the real world. After demonstrating the manipulation of action classification of single videos, we generalize the procedure to make universal adversarial perturbation, achieving high fooling ratio. In addition, we generalize the universal perturbation and produce a temporal-invariant perturbation, which can be applied to the video without synchronizing the perturbation to the input. The attack was implemented on several target models and the transferability of the attack was demonstrated. These properties allow us to bridge the gap between simulated environment and real-world application, as will be demonstrated in this paper for the first time for an over-the-air flickering attack.

研究の動機と目的

• 人間に対して見えにくく、現実世界で応用可能な動画認識モデル向けの敵対的攻撃を開発すること。
• 時間的整合性と運動ダイナミクスが重要となる動画分類における敵対的摂動の適用という課題に対処すること。
• 入力動画の時間的同期が不要な状態で、多様な動画入力に対して効果を発揮する普遍的敵対的摂動を設計すること。
• 攻撃の複数の動画認識モデルへの転送性を示すこと。
• シミュレートされた敵対的攻撃と、動画認識分野におけるオーバーザエアの現実世界での実装との間のギャップを埋めること。

提案手法

• 攻撃は、時間的に構造的ではあるがパターンのないフレイキング時間的摂動を導入し、人間観測者にとっての視認性を最小限に抑える。
• 摂動は、動画入力の誤分類を最大化するように最適化されつつも、視覚的に見えにくく保たれる。
• 任意の動画入力に適用可能な普遍的摂動が学習され、多様な入力に対して高い欺瞞率を達成する。
• この手法は、入力動画フレームとの同期が不要な時間的に不変の摂動へと一般化される。
• 攻撃は複数の動画認識モデルに実装され、アーキテクチャを越えた転送性が示された。
• アプローチは、シミュレーション環境および現実世界の両方で評価され、空中での実現可能性が検証された。

実験結果

リサーチクエスチョン

• RQ1 フレイキングでパターンのない時間的摂動を設計し、動画認識モデルを欺くと同時に、人間にとって実質的に見えにくくできるか？
• RQ2 提案された普遍的敵対的摂動は、多様な動画分類モデルに対してどの程度効果的か？
• RQ3 フレームレベルの同期が不要な状態で、効果を維持できる時間的に不変の摂動を構築できるか？
• RQ4 攻撃はどの程度、異なる動画認識モデル間で転送されるか？
• RQ5 この攻撃は、現実世界の空中での展開に成功するか？

主な発見

• 提案されたフレイキング時間的摂動は、人間観測者にとって実質的に見えにくく保ちつつ、動画認識モデルに対して高い欺瞞率を達成した。
• 普遍的敵対的摂動は、複数の動画分類モデルに強く転送され、広範な適用可能性を示した。
• 時間的に不変の摂動は、入力動画フレームとの同期がなくても高い攻撃成功率を維持でき、現実世界での実装可能性が向上した。
• 攻撃は空中環境でも成功裏に実装され、現実世界での展開可能性が裏付けられた。
• この手法は、シミュレートされた敵対的攻撃と現実世界の物理的応用との間のギャップを効果的に埋めた。