[論文レビュー] X-Adv: Physical Adversarial Object Attacks against X-ray Prohibited Item Detection

Aishan Liu, Jun Guo+7 more|arXiv (Cornell University)|Feb 19, 2023

Adversarial Robustness in Machine Learning被引用数 17

ひとこと要約

X-Adv は、X線禁止物検知器を欺くための、物理的に実現可能な3D敵対的金属物体を生成し、カラー退色と遮蔽に対応する差分可能なX線変換と方針ベースの場所探索を用います。デジタルおよび現実世界の攻撃の両方を実証し、XADデータセットを提供します。

ABSTRACT

Adversarial attacks are valuable for evaluating the robustness of deep learning models. Existing attacks are primarily conducted on the visible light spectrum (e.g., pixel-wise texture perturbation). However, attacks targeting texture-free X-ray images remain underexplored, despite the widespread application of X-ray imaging in safety-critical scenarios such as the X-ray detection of prohibited items. In this paper, we take the first step toward the study of adversarial attacks targeted at X-ray prohibited item detection, and reveal the serious threats posed by such attacks in this safety-critical scenario. Specifically, we posit that successful physical adversarial attacks in this scenario should be specially designed to circumvent the challenges posed by color/texture fading and complex overlapping. To this end, we propose X-adv to generate physically printable metals that act as an adversarial agent capable of deceiving X-ray detectors when placed in luggage. To resolve the issues associated with color/texture fading, we develop a differentiable converter that facilitates the generation of 3D-printable objects with adversarial shapes, using the gradients of a surrogate model rather than directly generating adversarial textures. To place the printed 3D adversarial objects in luggage with complex overlapped instances, we design a policy-based reinforcement learning strategy to find locations eliciting strong attack performance in worst-case scenarios whereby the prohibited items are heavily occluded by other items. To verify the effectiveness of the proposed X-Adv, we conduct extensive experiments in both the digital and the physical world (employing a commercial X-ray security inspection system for the latter case). Furthermore, we present the physical-world X-ray adversarial attack dataset XAD.

研究の動機と目的

• 安全-critical な設定におけるX線禁止物検知器の頑健性評価を促進する。
• X線の色退色のためテクスチャではなく敵対形状を用いる物理世界の敵対攻撃フレームワーク (X-Adv) を提案する。
• 勾配ベースの最適化を可能にする3D敵対形状をX線画像へ投影する差分可能なX線コンバータを開発する。
• 最悪ケースの遮蔽に対処するため、ポリシーベースの強化学習アプローチで最適な攻撃場所を探索する。
• デジタルおよび物理実験で効果を検証し、XADデータセットを提供する。

提案手法

• X線検知器をだませる、敵対形状を有する物理的に印刷可能な3D敵対金属物体(P)を生成する。
• 差分可能なコンバータ R_delta を用いてX線投影をシミュレーションし、代替検出器に対する形状の勾配ベース最適化を可能にする。
• 物体形状 P と配置 C の両方を最適化し、誤分類を最大化する。現実的な機能性を維持するための知覚/正則化項を適用。
• 遮蔽下で頑健な配置を見つけるため、REINFORCE を用いたポリシーとして攻撃場所探索をモデル化。攻撃強度と場所の多様性をバランス（G 報酬）。
• 攻撃損失 L_adv を、知覚損失 L_per（全変動項を含む）と組み合わせ、形状と配置の共同最適化を行う。）

実験結果

リサーチクエスチョン

• RQ1 慎重に設計された形状を用いた敵対物体によって、物理世界のX線禁止物検知器をテクスチャではなく欺くことができるか。
• RQ2 最悪ケースの遮蔽や荷物の配置の変化の下でも有効であり続けるよう、効率的にこのような敵対物体を生成・配置するにはどうすればよいか。
• RQ3 X線投影物理が、モデル間およびデータセット間での敵対物体の転移性に与える影響は何か。
• RQ4 形状と位置の共同最適化は、X線設定における素朴な攻撃やテクスチャベースの攻撃よりも優れているのか。

主な発見

• X-Adv は検出器の性能を著しく低下させる。OPIXray では、クリーン時の mAP を 74.02% から 23.05% に低下させる攻撃を、設定の1つで示した（要約に例として記載）。
• 評価対象モデル全体で、攻撃は顕著な mAP低下をもたらし、OPIXray で平均約50%、HiXray で約30%の低下を達成。
• この手法はデジタルと物理実験の両方で有効であり、3Dプリントした敵対金属を用いた商用X線システムへの実世界攻撃も含む。
• 新しい物理世界のX線敵対攻撃データセット XAD を導入。5,587 枚の画像（840 枚は敵対的画像）を含む。
• 従来のテクスチャベースパッチはこれらのX線検知器に対して効果がなく、X線セキュリティ検査における唯一の脆弱性を強調している。