[논문 리뷰] Adversarial Metric Attack for Person Re-identification.

Song Bai, Yingwei Li외 3명|arXiv (Cornell University)|2019. 01. 30.

Adversarial Robustness in Machine Learning인용 수 7

한 줄 요약

이 논문은 사람 재식별(re-ID)를 위한 특별히 설계된 적대적 예외를 생성하기 위해 거리 메트릭의 취약점을 악용하는 새로운 방법인 Adversarial Metric Attack를 제안한다. 미세한 변화를 가해 시각적으로 인식할 수 없도록 하는 방식으로, 메트릭의 강건성을 떨어뜨려 re-ID 시스템의 심각한 보안 결함을 드러내며, 적대적 강건한 특징 학습의 긴급한 필요성을 강조한다.

ABSTRACT

Person re-identification (re-ID) has attracted much attention recently due to its great importance in video surveillance. In general, distance metrics used to identify two person images are expected to be robust under various appearance changes. However, our work observes the extreme vulnerability of existing distance metrics to adversarial examples, generated by simply adding human-imperceptible perturbations to person images. Hence, the security danger is dramatically increased when deploying commercial re-ID systems in video surveillance, especially considering the highly strict requirement of public safety. Although adversarial examples have been extensively applied for classification analysis, it is rarely studied in metric analysis like person re-identification. The most likely reason is the natural gap between the training and testing of re-ID networks, that is, the predictions of a re-ID network cannot be directly used during testing without an effective metric. In this work, we bridge the gap by proposing Adversarial Metric Attack, a parallel methodology to adversarial classification attacks, which can effectively generate adversarial examples for re-ID. Comprehensive experiments clearly reveal the adversarial effects in re-ID systems. Moreover, by benchmarking various adversarial settings, we expect that our work can facilitate the development of robust feature learning with the experimental conclusions we have drawn.

연구 동기 및 목표

• 기존의 거리 메트릭이 적대적 예외에 얼마나 취약한지 조사하기 위해.
• 분류 기반 공격과 달리, 직접적인 분류가 아닌 학습된 메트릭에 의존하는 re-ID와 같은 메트릭 학습 분야에서의 적대적 공격 부족 문제를 해결하기 위해.
• 분류 기반 공격과 메트릭 기반 시스템(예: re-ID) 간의 격차를 메우기 위해.
• re-ID에서 메트릭 성능을 떨어뜨리는 적대적 예외 생성의 가능성과 영향력을 입증하기 위해.
• 향후 강건한 특징 학습 개발을 안내할 수 있는, re-ID에서의 적대적 강건성에 대한 경험적 기준을 제공하기 위해.

제안 방법

• 분류 기반 적대적 공격과 병렬적으로 작동하는 프레임워크를 제안하며, 특히 메트릭 기반 re-ID 시스템에 특화되어 있다.
• 사람 이미지에 인간이 인식할 수 없는 정도의 변형을 적용하여 거리 메트릭 계산을 방해하는 방식으로 적대적 예외를 생성한다.
• re-ID에서 훈련과 테스트 간의 본질적인 격차를 활용하며, 모델 예측이 직접적인 출력이 아닌 학습된 메트릭에 의존한다는 점을 고려한다.
• 분류 출력이 추론 중에 이용 가능하지 않은 경우에도 효과적인 공격 전략을 설계하여 메트릭 학습 목표를 직접 공격한다.
• 메트릭 왜곡을 극대화하면서도 시각적 인식 불가능성을 유지하는 방식으로 기울기 기반 최적화 방법을 활용해 변형을 제작한다.
• 다양한 re-ID 벤치마크를 통해 공격의 일반화 능력과 적대적 예외의 강건성을 검증한다.

실험 결과

연구 질문

• RQ1 기존의 거리 메트릭은 사람 재식별에서 적대적 변형에 얼마나 취약한가?
• RQ2 분류 헤드가 추론 중에 직접 제공되지 않는 메트릭 학습 시스템(예: re-ID)에서도 적대적 예외를 효과적으로 생성할 수 있는가?
• RQ3 표준 분류 작업과 비교해 볼 때, re-ID에서의 적대적 공격의 핵심 특성과 성공 패턴은 무엇인가?
• RQ4 다양한 적대적 설정이 메트릭 공격 하에서 re-ID 시스템의 성능 저하에 어떤 영향을 미치는가?
• RQ5 실제 감시 응용 분야에서 적대적 예외는 re-ID 시스템의 신뢰성에 얼마나 심각하게 영향을 미칠 수 있는가?

주요 결과

• 사람 재식별에서 기존의 거리 메트릭은 시각적으로 인식할 수 없는 변형을 통해 생성된 적대적 예외에 매우 취약하다.
• Adversarial Metric Attack는 분류 출력에 직접적인 접근 없이도 메트릭 공간을 조작하여 re-ID 성능을 떨어뜨리는 데 성공한다.
• 포괄적인 실험을 통해 다양한 벤치마크 데이터셋에서 적대적 변형이 re-ID 정확도를 크게 감소시킴을 확인했다.
• 공격는 다양한 re-ID 환경에서 일관된 성공을 보이며, 현재 메트릭 학습 접근법에 내재된 체계적 취약성을 드러낸다.
• 이 연구는 향후 re-ID를 위한 더 강건한 특징 학습 방법 개발을 안내할 수 있는 경험적 기준을 제공한다.