[論文レビュー] Watch out! Motion is Blurring the Vision of Your Deep Neural Networks

Qing Guo, Felix Juefei-Xu+6 more|arXiv (Cornell University)|Feb 10, 2020

Adversarial Robustness in Machine Learning参考文献 48被引用数 44

ひとこと要約

この論文は、動作に基づく敵対的ぼかし攻撃ABBAを紹介し、視覚的に自然なモーションブラー付き敵対的例を生成してDNNを欺くとともに、転移性とデブラー（デブラー）への頑健性を評価します。シミュレーションと実世界のシナリオでの物理世界での実現可能性も実証します。

ABSTRACT

The state-of-the-art deep neural networks (DNNs) are vulnerable against adversarial examples with additive random-like noise perturbations. While such examples are hardly found in the physical world, the image blurring effect caused by object motion, on the other hand, commonly occurs in practice, making the study of which greatly important especially for the widely adopted real-time image processing tasks (e.g., object detection, tracking). In this paper, we initiate the first step to comprehensively investigate the potential hazards of the blur effect for DNN, caused by object motion. We propose a novel adversarial attack method that can generate visually natural motion-blurred adversarial examples, named motion-based adversarial blur attack (ABBA). To this end, we first formulate the kernel-prediction-based attack where an input image is convolved with kernels in a pixel-wise way, and the misclassification capability is achieved by tuning the kernel weights. To generate visually more natural and plausible examples, we further propose the saliency-regularized adversarial kernel prediction, where the salient region serves as a moving object, and the predicted kernel is regularized to achieve naturally visual effects. Besides, the attack is further enhanced by adaptively tuning the translations of object and background. A comprehensive evaluation on the NeurIPS'17 adversarial competition dataset demonstrates the effectiveness of ABBA by considering various kernel sizes, translations, and regions. The in-depth study further confirms that our method shows more effective penetrating capability to the state-of-the-art GAN-based deblurring mechanisms compared with other blurring methods. We release the code to https://github.com/tsingqguo/ABBA.

研究の動機と目的

• 実世界の知覚タスクで、物体の動きによるモーションブラーが深層ニューラルネットワーク（DNN）にどのような脅威を与えるかを調査する。
• visually natural motion blurを生成するカーネル予測ベースの敵対攻撃フレームワークを開発する。
• 視覚的自然さを向上させるためのサリエンシー正則化と領域運動制約を導入し、攻撃の妥当性を高める。
• ABBAを最先端の加法的攻撃・ぼかしベースラインと比較して、成功率と転移性の観点で評価する。
• 物理世界での敵対的ぼかしの実現性とデブラーリング手法に対する頑健性を検討する。

提案手法

• ABBAを導入する：各ピクセルを局所近傍の学習可能なカーネルと畳み込むカーネル予測ベースの敵対攻撃。
• 正則化されていないカーネルを用いるABBA_pixel（unregularized kernels）と、サリエンシーガイド付き・領域整合のぼかし正則化を用いるABBA_motionへ拡張。
• 運動している領域をサリエンシーマップで指定し、物体/背景領域内で視覚的に自然なモーションブラーを生成するようカーネルを正則化。
• N個のサブ運動で物体と背景を移動させ、翻訳されたピクセル近傍を蓄積してぼかしを模擬する（式（Eq. 4））。
• ABBA_motionでは、ターゲット損失を最大化するようにカーネル重みと翻訳パラメータを jointly optimizeし、カーネルの疎性を制約し、領域全体のカーネル整合性を促進。
• ABBA_physicalを提案：カーネルを平均値に固定し、実世界のカメラ誘発ぼかしを模倣する共有翻訳を強制する；AirSimで検証し、実機のモバイル端末実験で検証。
• NeurIPS’17の敵対データセットを用い、複数モデル（Inc-v3, Inc-v4, IncRes-v2, Xception）と防御と共に評価；加法攻撃およびぼかしベースラインと比較し、DeblurGAN / DeblurGANv2に対するデブラーリング耐性を評価。

実験結果

リサーチクエスチョン

• RQ1 モーションブラーがDNNの認識にどのような影響を与え、視覚的に妥当で分類器を誤らせる敵対的例を作成できるか。
• RQ2 カーネル予測ベースの攻撃は、従来のぼかし法や加法ノイズ攻撃を上回る高い攻撃成功率と転移性を生み出せるか。
• RQ3 サリエンシーガイド付き・領域整合のモーションブラーは、効果を犠牲にせず攻撃の妥当性を向上させるか。
• RQ4 実世界およびシミュレーション環境で物理的に実現可能な敵対的ぼかし攻撃は実現可能か、デブラーリング手法に対してどの程度の頑健性を示すか。

主な発見

• ABBAおよびABBA_pixelは、通常学習モデルおよび防御モデルに対して、ぼかしベースラインより高い攻撃成功率と転移性を達成する。
• ABBA_examplesは、攻撃成功率が高くても視覚的に自然さを保ち（BRISQUEスコアが低い）、加法ノイズ攻撃のように画像品質を劣化させない。
• DeblurGANおよびDeblurGANv2と比較して、ABBAはデブラーリングに対してより頑健で、カーネルサイズの増加に伴い攻撃効果を維持する。
• ABBA_physicalはAirSimでInc-v3の高い成功を示し、モーションブラー下での誤分類を実世界の携帯端末実験でも示唆する可能性を示した。
• 特定領域（物体または画像全体）をぼかす攻撃は成功が異なり、領域認識型ABBAは転移性と現実感の点で、素朴なぼかしベースラインを一般的に上回る。
• 総じて、ABBAは転移性と頑健性の点でいくつかの最先端のぼかしおよび加法攻撃より優れており、より自然な敵対的ぼかしを生成する。