[論文レビュー] Using Depth for Pixel-Wise Detection of Adversarial Attacks in Crowd Counting

Weizhe Liu, Mathieu Salzmann+1 more|arXiv (Cornell University)|Nov 26, 2019

Anomaly Detection Techniques and Applications参考文献 75被引用数 7

ひとこと要約

本稿では、2ストリームのディープニューラルネットワークを用い、深度推定を補助信号として活用することで、集団数え上げのためのピクセル単位の敵対的攻撃検出手法を提案する。密度とシーン深度を同時に回帰するようにモデルを学習させることで、深度予測の不一致を介して摂動を加えたピクセルを検出する。小さな摂動に対しても90%を超える検出精度を達成し、露出されていない攻撃および露出された攻撃の両方に対して堅牢性を示す。

ABSTRACT

State-of-the-art methods for counting people in crowded scenes rely on deep networks to estimate crowd density. While effective, deep learning approaches are vulnerable to adversarial attacks, which, in a crowd-counting context, can lead to serious security issues. However, attack and defense mechanisms have been virtually unexplored in regression tasks, let alone for crowd density estimation. In this paper, we investigate the effectiveness of existing attack strategies on crowd-counting networks, and introduce a simple yet effective pixel-wise detection mechanism. It builds on the intuition that, when attacking a multitask network, in our case estimating crowd density and scene depth, both outputs will be perturbed, and thus the second one can be used for detection purposes. We will demonstrate that this significantly outperforms heuristic and uncertainty-based strategies.

研究の動機と目的

• 深層学習に基づく集団数え上げにおける敵対的攻撃に対する防御メカニズムの欠如に取り組む。これは敵対的セキュリティ分野においてほとんど検討がなされていない回帰タスクである。
• 不確実性やヒューリスティックベースの手法に依存せずに、敵対的例を検出できる、堅牢なピクセル単位の検出メカニズムを開発すること。
• 特に、集団密度とシーン深度の同時推定を用いたマルチタスク学習を活用し、攻撃者が回避しにくい検出信号を生成すること。
• 攻撃者が検出器を知らない状況（未露出攻撃）と、検出器および参照深度マップにアクセス可能な状況（露出攻撃）の両方に対して耐性を確保すること。

提案手法

• 共有バックボーンとタスク固有のヘッドを備えた2ストリームのディープニューラルネットワークを訓練し、集団密度とシーン深度を同時に回帰する。
• 深度センサ、幾何的プリオン、または事前学習済み深度モデルから得られる参照深度マップを、摂動を加えた入力における不一致を検出するための真値として用いる。
• 予測深度と参照深度のピクセル単位の乖離に基づく改ざんインジケータを定義し、しきい値戦略を用いて疑わしいピクセルを特定する。
• 勾配ベースの敵対的攻撃（例：FGSM）を密度ヘッドに適用しながら、深度予測の異常を監視する。
• 敵対的訓練中に深度予測を安定化させるために、ハイパーパrameter λ を用いた損失項を導入し、検出性能とモデル精度のバランスを取る。
• 検出精度と攻撃強度の変動に伴う回帰誤差を評価するため、mIoU、DMAE、RMSE、ZMAE を評価指標として用いる。

実験結果

リサーチクエスチョン

• RQ1 集団密度とシーン深度の同時推定は、回帰ベースの集団数え上げにおけるピクセル単位の敵対的攻撃検出に信頼性のある信号として機能するか？
• RQ2 攻撃者が検出メカニズムを完全に把握している状況（露出攻撃）において、提案手法はどの程度有効か？
• RQ3 摂動の大きさ（ε）としきい値戦略が検出性能に与える影響は何か？
• RQ4 攻撃者が参照深度マップにアクセス可能な状況でも、本手法は高い検出精度を維持できるか？
• RQ5 深度正則化の強さ（λ）を変化させた際、検出の堅牢性と回帰精度のトレードオフはどのように変化するか？

主な発見

• 提案手法は、非常に小さな摂動（β = 0.01）に対しても90%を超えるピクセル単位の検出精度を達成しており、摂動が大きくなるに従い性能が急速に向上する。
• 攻撃者が密度ネットワークおよび参照深度マップにアクセス可能な露出攻撃に対しても、性能が著しく低下せず、両方の出力を一貫して操作することが困難であるため、強い耐性を示す。
• ShanghaiTechRGBDデータセットでは、ε = 1.0のときmIoUが0.52に達し、ε = 19.0では0.58に上昇する。これは攻撃強度に敏感であることを示している。
• 改ざんピクセルを分類する最適なしきい値は5%であり、すべてのデータセットおよび攻撃タイプで最高のmIoUを達成する。
• 深度正則化ハイパーパrameter λ を増加させると、検出精度と密度推定誤差の両方が低下し、堅牢性とモデル性能のトレードオフが明確に確認される。
• ShanghaiTechRGBD、MICC、Veniceの複数のベンチマークデータセットにおいて、ヒューリスティックおよび不確実性ベースの検出戦略に比べ、本手法は顕著に優れた性能を示している。