[논문 리뷰] Design and Interpretation of Universal Adversarial Patches in Face Detection

Xiao Yang, Fangyun Wei외 2명|arXiv (Cornell University)|2019. 11. 30.

Adversarial Robustness in Machine Learning참고 문헌 48인용 수 5

한 줄 요약

이 논문은 얼굴 검출기의 진짜 양성 검출을 억제하면서 거짓 양성 검출을 최소화하는 최적화 기반 방법을 제안한다. 이는 패치가 얼굴처럼 보이게 하여 상태기반 얼굴 검출기의 성능을 저하시키는 방식이다. 이 방법은 다양한 척도, 위치, 검출 프레임워크에서 높은 전이성과 강건성을 확보하며, WIDER FACE 및 FDDB 데이터셋에서 정밀도/재현율 성능이 크게 떨어진다.

ABSTRACT

We consider universal adversarial patches for faces -- small visual elements whose addition to a face image reliably destroys the performance of face detectors. Unlike previous work that mostly focused on the algorithmic design of adversarial examples in terms of improving the success rate as an attacker, in this work we show an interpretation of such patches that can prevent the state-of-the-art face detectors from detecting the real faces. We investigate a phenomenon: patches designed to suppress real face detection appear face-like. This phenomenon holds generally across different initialization, locations, scales of patches, backbones, and state-of-the-art face detection frameworks. We propose new optimization-based approaches to automatic design of universal adversarial patches for varying goals of the attack, including scenarios in which true positives are suppressed without introducing false positives. Our proposed algorithms perform well on real-world datasets, deceiving state-of-the-art face detectors in terms of multiple precision/recall metrics and transferability.

연구 동기 및 목표

• 실제 얼굴 검출을 신뢰성 있게 억제하면서 거짓 양성 검출을 유도하지 않는 유니버설 적인 적대적 패치를 개발한다.
• 얼굴 검출을 방해하기 위해 설계된 적대적 패치가 명시적으로 훈련되지 않았음에도 불구하고 왜 자주 얼굴처럼 보이는지 탐구한다.
• 공격 효과성과 해석 가능성, 최소한의 거짓 양성 검출 간의 균형을 고려한 패치 최적화 방법을 설계한다.
• 다양한 얼굴 검출 모델, 척도, 위치 간 패치의 전이성을 평가한다.
• 패치의 시각적 및 구조적 특성과 얼굴 검출기의 신뢰도 점수에 미치는 영향을 분석하여 적대적 패치의 해석 가능성을 제공한다.

제안 방법

• 진짜 양성 검출을 억제하면서 거짓 양성 반응을 최소화하는 데 중점을 둔 Patch-Score-Focal 및 Patch-Combination 최적화 목표를 제안한다.
• 입력 이미지에 종속되지 않는 유니버설 패치 형식을 사용하며, 다양한 얼굴 이미지에 대해 엔드 투 엔드 최적화를 통해 훈련한다.
• 훈련 중 하드 및 쉬운 예제 간 균형을 맞추기 위해 IoU 억제와 포칼 손실을 조합한 미분 가능 손실 함수를 적용한다.
• 데이터 증강 및 다중 척도 훈련을 통해 적대적 패치의 강건성과 전이성을 향상시킨다.
• 다양한 얼굴 검출 프레임워크(예: RetinaNet, SSD)와 백본(ResNet, ResNeXt)에서 패치 성능을 평가한다.
• 공격 효율성과 해석 가능성을 향상시키기 위해 얼굴 유사 패tern을 활용한 패치 초기화 전략을 도입한다.

실험 결과

연구 질문

• RQ1 얼굴 검출을 방해하기 위해 설계된 적대적 패치가 명시적으로 훈련되지 않았음에도 불구하고 왜 자주 얼굴처럼 보이는가?
• RQ2 진짜 양성 검출을 유도하지 않고도 얼굴 검출을 억제할 수 있는 유니버설 적인 적대적 패치를 설계할 수 있는가?
• RQ3 패치의 척도와 위치가 최신 검출기에서 유니버설 적인 적대적 패치의 성공률에 어떤 영향을 미치는가?
• RQ4 이러한 적대적 패치가 다양한 얼굴 검출 모델과 아키텍처 간에 얼마나 일반화되는가?
• RQ5 패치의 시각적 구조와 검출기 신뢰도 점수 저하 효과 사이의 관계는 무엇인가?

주요 결과

• Patch-Score-Focal 및 Patch-Combination 방법은 전체 스플릿 기준 WIDER FACE에서 99.2% 정밀도와 9.2% 재현율을 기록하며 진짜 양성 검출을 크게 억제한다.
• 원본 크기의 60%로 축소했을 경우, Patch-Combination 방법은 전체 스플릿에서 99.4% 정밀도와 17.2% 재현율을 유지하여 크기 변화에 대한 강건성을 입증한다.
• 얼굴 하단에 패치를 배치했을 경우 전체 스플릿에서 98.8% 정밀도와 10.7% 재현율을 기록하며, 위치가 성능에 영향을 미치지만 효과를 완전히 제거하지는 않는다.
• Patch-Score-Focal 방법은 기준선인 Patch-IoU 대비 거짓 양성 검출을 감소시켰으며, 전체 스플릿에서 22.4%의 거짓 양성 검출을 유발한다.
• 적대적 패치는 강력한 전이성을 보이며, ResNet-101에서 Patch-Score-Focal은 전체 스플릿에서 99.3% 정밀도와 15.6% 재현율을 기록하여 모델 간 강건성을 입증한다.
• 패치가 얼굴처럼 보이는 현상은 다양한 백본, 초기화 방법, 척도, 검출 프레임워크 간에 일관되며, 검출기 행동의 근본적인 특성임을 시사한다.