[논문 리뷰] Adversarial Laser Spot: Robust and Covert Physical-World Attack to DNNs

Chengyin Hu, Wang, Yilong외 2명|arXiv (Cornell University)|2022. 06. 02.

Adversarial Robustness in Machine Learning인용 수 5

한 줄 요약

이 논문은 저비용 레이저 장비를 사용하여 딥 네ural 네트워크(DNN)에 대한 강력하고 은밀한 물리세계 공격인 악성 레이저 스폿(AdvLS)을 제안한다. 유전 알고리즘을 통해 레이저 스폿의 파arameter를 최적화함으로써 AdvLS는 낮시간을 포함한 실제 환경 조건에서도 높은 공격 성공률를 달성하며, 최신 DNN에 걸쳐 강력한 전이성(transferability)을 보이며, 낮시간 환경에서의 첫 번째 빛 기반 물리세계 공격을 이룩한다.

ABSTRACT

Most existing deep neural networks (DNNs) are easily disturbed by slight noise. However, there are few researches on physical attacks by deploying lighting equipment. The light-based physical attacks has excellent covertness, which brings great security risks to many vision-based applications (such as self-driving). Therefore, we propose a light-based physical attack, called adversarial laser spot (AdvLS), which optimizes the physical parameters of laser spots through genetic algorithm to perform physical attacks. It realizes robust and covert physical attack by using low-cost laser equipment. As far as we know, AdvLS is the first light-based physical attack that perform physical attacks in the daytime. A large number of experiments in the digital and physical environments show that AdvLS has excellent robustness and covertness. In addition, through in-depth analysis of the experimental data, we find that the adversarial perturbations generated by AdvLS have superior adversarial attack migration. The experimental results show that AdvLS impose serious interference to advanced DNNs, we call for the attention of the proposed AdvLS. The code of AdvLS is available at: https://github.com/ChengYinHu/AdvLS

연구 동기 및 목표

• 특히 낮시간 조건에서 조명 장비를 사용한 물리세계 공격의 부족을 해결하기 위해.
• 저비용, 은밀하고 강력한 물리세계 공격 방법을 개발하여 DNN 기반 시각 시스템을 대상으로 하기 위해.
• 진화 계산을 통한 물리적 편향 최적화를 통해 적대적 전이성(transferability)을 향상시키기 위해.
• 실제로 제약이 없는 환경에서 레이저 기반 공격의 실현 가능성과 효과성을 입증하기 위해.
• 자율 주행과 같은 안전이 중요한 애플리케이션에서 물리적 적대적 공격이 초래하는 보안 위험을 인식시키기 위해.

제안 방법

• 공격은 레이저 스폿의 강도, 위치, 형태와 같은 물리적 파라미터를 최적화하기 위해 유전 알고리즘을 활용하여 DNN에 대한 공격 성공률를 극대화한다.
• 공격은 저비용 레이저 모듈을 사용하여 물리적으로 실현 가능하도록 설계되어 실용적 구현을 보장한다.
• 최적화 과정은 실제 조명 및 카메라 조건을 시뮬레이션하여 환경 변화에 대한 강건성을 향상시킨다.
• 이 방법은 다양한 DNN 아키텍처 간에 매우 높은 전이성을 보이는 적대적 편향을 생성한다.
• 공격은 디지털 시뮬레이션과 실제 물리적 실험을 모두 통해 강건성과 은밀함을 검증한다.
• 이 접근법은 낮시간 조건에서 평가되어 이전 연구가 제한된 환경이나 야간 설정에 국한된 것과 구분된다.

실험 결과

연구 질문

• RQ1 레이저 기반 물리세계 공격이 실제 제약이 없는 환경에서 DNN에 대해 높은 성공률를 달성할 수 있는가?
• RQ2 레이저 스폿 공격이 빛의 위장이 어려운 낮시간 조건에서 얼마나 효과적인가?
• RQ3 AdvLS가 생성한 적대적 편향이 다양한 최신 DNN 모델 간에 어느 정도 전이되는가?
• RQ4 유전 알고리즘 최적화가 공격의 강건성과 물리적 실현 가능성에 어떻게 기여하는가?
• RQ5 저비용 레이저 장비를 사용한 물리세계 적대적 공격의 은밀함과 실용적 실현 가능성 수준은 어떠한가?

주요 결과

• AdvLS는 ResNet과 EfficientNet을 포함한 여러 최신 DNN에 대해 디지털 및 물리세계 조건 모두에서 높은 공격 성공률를 기록한다.
• 공격은 낮시간에도 효과적이며, 이러한 환경에서의 첫 번째 성공적인 물리세계 레이저 기반 공격임을 입증한다.
• AdvLS가 생성한 적대적 편향은 최적화 기간에 볼 수 없었던 DNN 모델까지도 성공적으로 공격하여 강력한 전이성을 보인다.
• 유전 알고리즘 최적화를 통해 조명 변화 및 카메라 각도 변화와 같은 환경 변화에 대한 강건성이 확보된다.
• 저비용 레이저 하드웨어의 사용은 실용적 실현 가능성을 보장하며 공격의 은밀함과 도청 방지 성능을 향상시킨다.
• 공격은 인간의 눈으로는 시각적으로 인지할 수 없어 실제 구현에서 은밀함을 확인할 수 있다.