[논문 리뷰] AVA: Adversarial Vignetting Attack against Visual Recognition

Binyu Tian, Felix Juefei-Xu외 4명|arXiv (Cornell University)|2021. 05. 12.

Adversarial Robustness in Machine Learning참고 문헌 41인용 수 5

한 줄 요약

이 논문은 자연 이미지의 비닝게팅 효과를 활용하여 눈에 띄지 않게, 물리적으로 타당한 대비 예측 가능한 적대적 예제를 생성하는 새로운 도전적인 적대적 공격인 AVA(Adversarial Vignetting Attack)를 제안한다. 비닝게팅을 물리적 파라미터로 모델링하고 기하학적 인식 수준 집합 방법을 통해 공격 영역과 파라미터를 동시에 최적화함으로써, CIFAR10, Tiny ImageNet, DEV 데이터셋에서 ResNet50, EfficientNet-B0, DenseNet121, MobileNet-V2에 대해 높은 전이성능을 달성하며, 성공률과 이미지 품질 측면에서 기준 방법들을 능가한다.

ABSTRACT

Vignetting is an inherited imaging phenomenon within almost all optical systems, showing as a radial intensity darkening toward the corners of an image. Since it is a common effect for photography and usually appears as a slight intensity variation, people usually regard it as a part of a photo and would not even want to post-process it. Due to this natural advantage, in this work, we study vignetting from a new viewpoint, i.e., adversarial vignetting attack (AVA), which aims to embed intentionally misleading information into vignetting and produce a natural adversarial example without noise patterns. This example can fool the state-of-the-art deep convolutional neural networks (CNNs) but is imperceptible to humans. To this end, we first propose the radial-isotropic adversarial vignetting attack (RI-AVA) based on the physical model of vignetting, where the physical parameters (e.g., illumination factor and focal length) are tuned through the guidance of target CNN models. To achieve higher transferability across different CNNs, we further propose radial-anisotropic adversarial vignetting attack (RA-AVA) by allowing the effective regions of vignetting to be radial-anisotropic and shape-free. Moreover, we propose the geometry-aware level-set optimization method to solve the adversarial vignetting regions and physical parameters jointly. We validate the proposed methods on three popular datasets, i.e., DEV, CIFAR10, and Tiny ImageNet, by attacking four CNNs, e.g., ResNet50, EfficientNet-B0, DenseNet121, and MobileNet-V2, demonstrating the advantages of our methods over baseline methods on both transferability and image quality.

연구 동기 및 목표

• 자연스러운 비닝게팅 효과를 활용하여 눈에 띄지 않는 적대적 예제를 생성하는 새로운 적대적 공격 방법을 개발하기 위해.
• 기존의 적대적 공격에서 쉽게 탐지 가능한 눈에 띄는 노이즈 패턴을 유발하지 않고도 적대적 예제를 생성하는 문제를 해결하기 위해.
• 다양한 딥 뉴럴 네트워크 아키텍처 간의 적대적 예제 전이성을 향상시키기 위해.
• 적대적 예제가 밝기 조정 및 비닝게팅 보정과 같은 일반적인 이미지 보정 기술에 대해 현실성과 강건성을 유지하기 위해.
• 물리적 영상 현상이 적대적 왜곡의 실현 가능한 수단으로 사용될 수 있는지 타당성과 효과성을 탐색하기 위해.

제안 방법

• 조직적 등방성 AVA(RI-AVA)를 제안하며, 조명 계수 및 초점 거리와 같은 물리적 파라미터를 사용하여 비닝게팅을 모델링하고, 타겟 CNN의 기울기 가이던스를 통해 조정한다.
• 방사형 이방성 AVA(RA-AVA)를 도입하여, 형태에 구애받지 않고 이방성인 효과적인 비닝게팅 영역을 허용함으로써 다양한 모델 간의 전이성을 향상시킨다.
• 기하학적 인식 수준 집합 최적화 방법을 개발하여 적대적 비닝게팅 영역과 물리적 파라미터를 동시에 최적화한다.
• 실제성 확보 및 인위적인 노이즈 패턴 방지를 위해 코사인 제4법칙 기반의 물리적 비닝게팅 모델을 사용한다.
• 기울기 기반 업데이트를 반복적으로 적용하여, 오분류를 극대화하면서도 인지적 왜곡을 최소화하는 적대적 예제를 생성한다.
• 표준 데이터셋(CIFAR10, Tiny ImageNet, DEV)과 여러 최신 모델(ResNet50, EfficientNet-B0, DenseNet121, MobileNet-V2)을 사용하여 방법을 검증한다.

실험 결과

연구 질문

• RQ1 눈에 띄는 노이즈 패턴을 유발하지 않으면서 자연적인 이미지 비닝게팅을 적대적 왜곡의 도전적인 수단으로 활용할 수 있는가?
• RQ2 조명 계수, 초점 거리 등의 비닝게팅 물리적 파라미터를 어떻게 최적화하여 공격 성공률을 극대화하면서도 이미지의 현실성을 유지할 수 있는가?
• RQ3 형태에 구애받지 않는 비닝게팅 영역과 이방성 영역이 등방성 영역에 비해 다양한 딥 뉴럴 네트워크 간의 전이성을 향상시킬 수 있는가?
• RQ4 Zero-DCE와 같은 일반적인 이미지 보정 기술(밝기 조정 및 비닝게팅 보정)에 대해 제안된 AVA 방법의 강건성은 어떠한가?
• RQ5 기하학적 인식 수준 집합 최적화 방법이 적대적 영역과 물리적 파라미터의 공동 학습을 얼마나 향상시키는가?

주요 결과

• RA-AVA는 DEV 데이터셋에서 ResNet50를 공격할 때 EfficientNet에서 37.21%의 전이 성공률을 기록하며, 전이성과 이미지 품질 측면에서 기준 방법들을 능가했다.
• 동일한 공격에서 RA-AVA는 BRISQUE 점수 11.0과 NIQE 37.04를 기록하여 높은 인지 품질과 낮은 왜곡을 나타냈다.
• Tiny ImageNet 데이터셋에서 Zero-DCE 보정 후에도 RA-AVA는 높은 공격 성공률을 유지했으며, ResNet50에서 정확도가 19.72%로 떨어졌지만, 밝기 보정에 대한 강건성을 입증했다.
• 제안된 수준 집합 최적화 방법은 기하학적으로 일관되고 물리적으로 타당한 적대적 비닝게팅 영역을 성공적으로 식별했다.
• 노이즈 기반 공격(FGSM, BIM)과 비노이즈 방법(cAdv)에 비해 AVA는 더 부드럽고 현실적인 적대적 예제를 생성했으며, 눈에 띄는 왜곡이 적었다.
• Zero-DCE는 최신 이미지 강화 모델이지만, 보정 후 정확도가 약 10%만 향상되어, 일반적인 이미지 복원 기술에 대한 강건성을 입증했다.