[論文レビュー] Talk Proposal: Towards the Realistic Evaluation of Evasion Attacks using CARLA

Cory Cornelius, Shang-Tse Chen+2 more|arXiv (Cornell University)|Apr 18, 2019

Advanced Malware Detection Techniques被引用数 5

ひとこと要約

本稿では、CARLAシミュレータを用いて、停止標識や服に物理的に実現可能な敵対的摂動を生成するような、内容を保持する撹乱攻撃（例：ShapeShifter）を現実的かつ包括的に評価する手法を提案する。このアプローチにより、多様な環境条件下での攻撃のスケーラブルかつ再現可能なテストが可能となり、幾何学的およびセンサーベースの防御（例：深度センシング）がこうした脅威を軽減できることを明らかにした。

ABSTRACT

In this talk we describe our content-preserving attack on object detectors, ShapeShifter, and demonstrate how to evaluate this threat in realistic scenarios. We describe how we use CARLA, a realistic urban driving simulator, to create these scenarios, and how we use ShapeShifter to generate content-preserving attacks against those scenarios.

研究の動機と目的

• 敵対的機械学習研究におけるギャップを埋めるために、完全に人間が識別できない摂動にとどまらず、現実的で内容を保持する攻撃に焦点を当てる。
• 現実世界での攻撃の作成・製造・テストの反復的サイクルを短縮するため、CARLAシミュレータを活用して現実的なシナリオをシミュレートする。
• ShapeShifterのような攻撃が、現実のセンシング制約や環境の変動下でも有効に機能するかどうかを評価する。
• CARLAにおける多様なセンサーモダリティ（例：深度、LIDAR）のシミュレーションを通じて、包括的なシステムレベルの防御を検討する。
• 敵対的訓練のような既存の防御が、物体の幾何構造と外観を同時に変更する物理的に実現可能な、幾何学に配慮した攻撃に対して、スケーラブルかつ効果的に機能するかを評価する。

提案手法

• CARLAシミュレータを用いて、多様な照明、天候、交通状況を想定した現実的な都市走行シナリオを生成し、敵対的攻撃のテストに活用する。
• ShapeShifter攻撃フレームワークを用いて、停止標識やTシャツに内容を保持する物理的に実現可能な摂動を生成し、Faster R-CNNオブジェクト検出器をだます。
• 実世界の画像歪み（例：ぼかし、照明変化）を模擬するため、Expectation over Transformation手法を適用し、攻撃の物理的耐性を向上させる。
• CARLAが提供する複数のセンサーモダリティ（RGBカメラ、深度、LIDARなど）を活用し、異なるセンシングパイプラインにおける攻撃成功率を評価する。
• CARLAの再現可能なシミュレーション環境を活用して、環境条件やセンサーカンfigurationの多様な条件下で、攻撃のパフォーマンスを体系的にテストする。
• ピクセルベースの敵対的摂動に対して、深度チャネル入力の耐性を分析することで、システムレベルの防御戦略を検討する。

実験結果

リサーチクエスチョン

• RQ1 静的画像ベンチマークではなく、動的で現実的なドライブシミュレーションで評価した場合、ShapeShifterのような内容を保持する敵対的攻撃は依然として有効に機能するか？
• RQ2 実世界の画像変換（例：ぼかし、照明変化）は、敵対的摂動の物理的実現可能性と成功率にどのように影響するか？
• RQ3 深度センシングやその他のマルチモーダルセンサーデータは、自律走行認識システムにおけるピクセルベースの敵対的攻撃に対して、どの程度防御的役割を果たせるか？
• RQ4 CARLAは、多様な環境条件下で敵対的攻撃および防御の耐性を、効率的かつ再現可能に評価するために利用可能か？
• RQ5 敵対的訓練のような既存の防御は、外観と幾何構造の両方を変更する複雑な物理的実現可能な攻撃に対して、スケーラブルに機能するか？

主な発見

• ShapeShifter攻撃はCARLAシミュレーションにおいてFaster R-CNN検出器をだますことに成功し、内容を保持する敵対的摂動が現実環境でも有効であることを示した。
• Expectation over Transformation手法は、作成された敵対的例の物理的耐性を顕著に向上させ、現実世界での繰り返し試行の必要性を大幅に削減した。
• CARLAは、多様な環境条件下での敵対的攻撃の迅速かつ再現可能な評価を可能にし、研究と検証のサイクルを加速させた。
• CARLAの深度チャネルは、形状に影響を与えない摂動を検出または軽減できる可能性を示し、ピクセルベース攻撃に対する防御的潜在能力を示した。
• 敵対的訓練のような既存の防御は、外観と幾何構造の両方を変更するShapeShifter風の攻撃に対して、スケーラブルに機能しない可能性がある。
• センサーモダリティや物理的制約を考慮したシステムレベルの防御（例：深度センシング）は、モデルのみに依存する防御よりも包括的かつ有望なアプローチを提供する。