[論文レビュー] Robust Physical Adversarial Attack on Faster R-CNN Object Detector

Shang-Tse Chen, Cory Cornelius+2 more|arXiv (Cornell University)|Apr 16, 2018

Adversarial Robustness in Machine Learning被引用数 52

ひとこと要約

本稿では、期待値変換（EoT）技術を応用して、視点の変化、照明の変化、カメラ効果などの現実世界の歪みに耐えるように設計された摂動を生成することにより、Faster R-CNNオブジェクト検出器を標的とした耐障害性のある物理的 adversarial 攻撃を提案している。この手法により、複数のスケールおよび視認条件において、ストップ・サインが他の物体に誤検出されることが確認され、自動運転車両のような安全に重要なシステムにおける深刻な脆弱性が示された。

ABSTRACT

Given the ability to directly manipulate image pixels in the digital input space, an adversary can easily generate imperceptible perturbations to fool a Deep Neural Network (DNN) image classifier, as demonstrated in prior work. In this work, we tackle the more challenging problem of crafting physical adversarial perturbations to fool image-based object detectors like Faster R-CNN. Attacking an object detector is more difficult than attacking an image classifier, as it needs to mislead the classification results in multiple bounding boxes with different scales. Extending the digital attack to the physical world adds another layer of difficulty, because it requires the perturbation to be robust enough to survive real-world distortions due to different viewing distances and angles, lighting conditions, and camera limitations. We show that the Expectation over Transformation technique, which was originally proposed to enhance the robustness of adversarial perturbations in image classification, can be successfully adapted to the object detection setting. Our approach can generate adversarially perturbed stop signs that are consistently mis-detected by Faster R-CNN as other objects, posing a potential threat to autonomous vehicles and other safety-critical computer vision systems.

研究の動機と目的

• 実世界の環境におけるFaster R-CNNのようなオブジェクト検出器を確実にだます物理的 adversarial 例を生成するという課題に対処すること。
• 変動する視認距離、視点、照明、カメラの制限といった要因によっても、adversarial 摂動を維持する難しさを克服すること。
• 元々デジタル画像分類に用いられていた期待値変換（EoT）技術を、複数のバウンディングボックスとスケール変動を伴うより複雑なオブジェクト検出設定に適応すること。
• 実世界のオブジェクト検出システム、特に自動運転のような安全に重要な応用分野において、物理的 adversarial 攻撃の実現可能性と耐障害性を示すこと。

提案手法

• 実世界の変換に耐えるように、オブジェクト検出設定に期待値変換（EoT）技術を適応させ、adversarial 摂動の耐障害性を向上させること。
• カメラや環境要因による回転、スケーリング、ぼかしといった歪みに耐えられるように、物理的ストップ・サインに adversarial 摂動を生成すること。
• さまざまな実世界の画像劣化や視点変化をシミュレートする微分可能変換プロセスを用いて摂動を最適化すること。
• 物理的ストップ・サインに摂動を適用し、異なる距離や角度での誤検出率を多様な条件下でテストすること。
• ターゲットモデルとしてFaster R-CNN検出器を用い、ストップ・サインが他の物体カテゴリに誤検出されるようにすること。
• 多様な環境条件下での複数回の推論実行における誤検出頻度を測定することで、攻撃の成功度を評価すること。

実験結果

リサーチクエスチョン

• RQ1 デジタル画像分類に用いられる adversarial 摂動が、物理世界においてFaster R-CNNのようなオブジェクト検出器を効果的にだますために適応可能か？
• RQ2 視点の変化、照明の変化、カメラのぼかしといった実世界の歪みに対して、adversarial 摂動はどの程度耐性を示すか？
• RQ3 期待値変換（EoT）技術は、オブジェクト検出における物理的耐障害性をどの程度向上させるか？
• RQ4 物理的 adversarial 例を信頼性高く生成し、自動運転システムにおけるストップ・サインの継続的な誤検出（他の物体に誤認識）を引き起こすことは可能か？
• RQ5 複数のスケールと視点角度を含む現実の展開条件下で、このような攻撃の成功率はどの程度か？

主な発見

• 提案手法は、複数のテスト条件下で、Faster R-CNNがストップ・サインを他の物体に誤検出する物理的 adversarial 摂動を一貫して生成できた。
• 期待値変換（EoT）の使用により、視点の変化やカメラのぼかしといった実世界の歪みに耐える adversarial 例の耐障害性が顕著に向上した。
• 摂動が異なる距離や角度から見られても高い成功率を維持しており、実用的実現可能性が裏付けられた。
• adversarial 摂動は人間の目にはほとんど見えず、元の標識の視覚的整合性を保ったままだった。
• 自動運転車両で使用されるオブジェクト検出システムにおいて、物理的 adversarial 例が危険な誤認識を引き起こすという深刻な脆弱性が明らかになった。
• 結果から、物理的 adversarial 攻撃が安全に重要なコンピュータビジョン応用分野に実際の脅威をもたらすことが確認された。