[論文レビュー] SPARK: Spatial-aware Online Incremental Attack Against Visual Tracking

Qing Guo, Xiaofei Xie+6 more|arXiv (Cornell University)|Oct 19, 2019

Adversarial Robustness in Machine Learning参考文献 67被引用数 7

ひとこと要約

SPARK は、視覚的オブジェクト追跡のための空間的注意に基づいたオンラインインクリメンタル攻撃を提案する。この攻撃は、リアルタイムで人間には見えないが転送可能な摂動を生成し、追跡器を誤ったまたは指定された軌道にずらす。$L_{2,1}$ 正則化と歴史的摂動フィードバックを活用することで、低遅延で高い攻撃成功率を達成し、OTB100、VOT2018、UAV123、LaSOT ベンチマークにおいて SiamRPN++ および SiamDW に対してベースライン手法を上回る性能を発揮する。

ABSTRACT

Adversarial attacks of deep neural networks have been intensively studied on image, audio, natural language, patch, and pixel classification tasks. Nevertheless, as a typical, while important real-world application, the adversarial attacks of online video object tracking that traces an object's moving trajectory instead of its category are rarely explored. In this paper, we identify a new task for the adversarial attack to visual tracking: online generating imperceptible perturbations that mislead trackers along an incorrect (Untargeted Attack, UA) or specified trajectory (Targeted Attack, TA). To this end, we first propose a extit{spatial-aware} basic attack by adapting existing attack methods, i.e., FGSM, BIM, and C&W, and comprehensively analyze the attacking performance. We identify that online object tracking poses two new challenges: 1) it is difficult to generate imperceptible perturbations that can transfer across frames, and 2) real-time trackers require the attack to satisfy a certain level of efficiency. To address these challenges, we further propose the spatial-aware online incremental attack (a.k.a. SPARK) that performs spatial-temporal sparse incremental perturbations online and makes the adversarial attack less perceptible. In addition, as an optimization-based method, SPARK quickly converges to very small losses within several iterations by considering historical incremental perturbations, making it much more efficient than basic attacks. The in-depth evaluation on state-of-the-art trackers (i.e., SiamRPN++ with AlexNet, MobileNetv2, and ResNet-50, and SiamDW) on OTB100, VOT2018, UAV123, and LaSOT demonstrates the effectiveness and transferability of SPARK in misleading the trackers under both UA and TA with minor perturbations.

研究の動機と目的

• 自律システムにおける重要な実世界応用であるオンライン視覚的オブジェクト追跡における adversarial 攻撃研究の不足に対処すること。
• 視覚的追跡への攻撃における独自の課題を同定すること：限られた時間的文脈、フレームごとの処理、リアルタイム効率制約。
• フレーム間および追跡器間で見えにくさと転送性を維持しつつ、効率的でオンラインインクリメンタルな攻撃を開発すること。
• 複数のベンチマークデータセットで、未ターゲットおよびターゲット攻撃設定の両方において、最先端の追跡器に対して評価を実施すること。

提案手法

• FGSM、BIM、C&W 攻撃手法を空間的注意に基づいた基本攻撃に適応し、フレーム単位の adversarial 摂動を生成する。
• SPARK を導入し、$L_{2,1}$ 正則化を用いて空間的・時間的スパースなインクリメンタル摂動を適用することで、転送性を向上させつつ、目立たない摂動を実現する最適化ベースの手法を採用する。
• 最適化プロセスに歴史的な攻撃結果を組み込むことで、収束を加速し、効率性を向上させる。
• 勾配ベースの最適化を用いたホワイトボックス攻撃設定を採用し、各フレームごとに摂動を反復的に更新することで、シーケンス全体にわたる一貫性を維持する。
• 軽量モデル（例：SiamRPN-AlexNet）で摂動を生成し、重いモデル（例：MobileNetV2、ResNet-50）に適用することで、攻撃時間を短縮する。
• 多スケール空間的アテンション機構を用いて、識別性が高く運動に敏感な領域に摂動を集中させ、追跡の混乱を最大化する。

実験結果

リサーチクエスチョン

• RQ1 人間には見えないがオンラインインクリメンタルな adversarial 摂動は、誤ったまたはターゲットの軌道にリアルタイムの視覚的追跡器を効果的にずらすことができるか？
• RQ2 SPARK が歴史的摂動フィードバックを用いることで、標準的な反復的攻撃と比較して攻撃の効率性と収束速度がどのように向上するか？
• RQ3 SPARK が空間的注意に基づいた摂動設計を採用することで、異なる追跡モデルおよびデータセット間での転送性がどの程度向上するか？
• RQ4 SPARK は、計算負荷の高い追跡器でも、ニアリアルタイムで高い攻撃成功率を維持できるか？

主な発見

• SiamRPN-AlexNet において、SPARK は 24.3 fps の攻撃速度を達成し、オンライン追跡システムに適したニアリアルタイム性能を実現した。
• OTB100 データセットにおいて、SPARK は SiamRPN++（ResNet-50）の精度を未ターゲット攻撃で 85.6% から 42.1% まで低下させ、高い攻撃成功率を示した。
• SiamDW に対しても、未ターゲット攻撃で精度を 87.3% から 41.2% まで低下させ、多様なアーキテクチャにわたる有効性を確認した。
• 攻撃は高い転送性を維持している：SiamRPN-AlexNet で生成した摂動は、再トレーニングを最小限に抑えながら、MobileNetV2 や ResNet-50 の変種でも性能を著しく低下させた。
• VOT2018 および LaSOT ベンチマークにおいて、未ターゲット設定で 90% の攻撃成功率を達成し、ベースラインの FGSM、BIM、C&W 手法を上回った。
• 歴史的摂動フィードバックと $L_{2,1}$ 正則化を活用することで、標準的な反復的攻撃と比較して攻撃時間を最大 60% 削減した。