[논문 리뷰] Detection as Regression: Certified Object Detection by Median Smoothing

Ping-yeh Chiang, Michael J. Curry외 4명|arXiv (Cornell University)|2020. 07. 07.

Adversarial Robustness in Machine Learning참고 문헌 36인용 수 4

한 줄 요약

이 논문은 회귀 작업에 특화된 새로운 랜덤 스무딩 기법인 중앙값 스무딩을 사용하여, 훈련 없이 모델에 종속되지 않는 인증된 방어 기법을 처음으로 제안한다. 객체 검출을 단일 회귀 문제로 환원하고 중앙값 기반 스무딩을 적용함으로써, ℓ₂ 유계 공격에 대해 MS-COCO에서 비현저한 인증된 평균 정밀도(4.21% AP@50)를 달성하였으며, 이는 객체 검출기의 첫 번째 인증된 방어 기법이다.

ABSTRACT

Despite the vulnerability of object detectors to adversarial attacks, very few defenses are known to date. While adversarial training can improve the empirical robustness of image classifiers, a direct extension to object detection is very expensive. This work is motivated by recent progress on certified classification by randomized smoothing. We start by presenting a reduction from object detection to a regression problem. Then, to enable certified regression, where standard mean smoothing fails, we propose median smoothing, which is of independent interest. We obtain the first model-agnostic, training-free, and certified defense for object detection against $\ell_2$-bounded attacks. The code for all experiments in the paper is available at http://github.com/Ping-C/CertifiedObjectDetection .

연구 동기 및 목표

• 안전 임계 시스템에서 널리 사용되고 있음에도 불구하고, 객체 검출기의 인증된 방어가 부족한 문제를 해결하기 위해.
• 객체 검출과 같은 회귀 작업에 효과적이지 않은 표준 평균 기반 랜덤 스무딩의 한계를 극복하기 위해.
• ℓ₂ 유계 변형에 대해 이론적 내성 보장을 제공하는, 재훈련이 필요 없고 모델에 종속되지 않는 방어 기법을 개발하기 위해.
• 다단계 검출 파이프라인을 단일 회귀 문제로 환원함으로써, 인증된 내성 보장을 제공하기 위해.
• MS-COCO와 같은 대규모 벤치마크에서 인증된 객체 검출의 실용 가능성을 입증하기 위해.

제안 방법

• 제안 영역 생성, 분류, 비최대 억제를 포함한 전체 객체 검출 파이프라인을 경계 상자 좌표와 클래스 점수를 출력하는 단일 회귀 문제로 환원한다.
• 객체 검출과 같은 회귀 작업에 효과적이지 않은 평균 기반 스무딩 대신, 새로운 중앙값 기반 스무딩 기법을 적용한다.
• 입력 이미지 주변의 가우시안 분포에 대한 몬테카를로 샘플링을 통해 예측의 중앙값을 추정함으로써, 농도 부등식을 통한 인증된 내성 보장을 가능하게 한다.
• 중앙값을 최종 출력으로 사용하는 백분위수 기반 스무딩 접근 방식을 사용하여, ℓ₂ 노름이 유계된 변형에 대해 내성 보장을 보장한다.
• 기본 검출기를 블랙박스로 간주하여, 재훈련이나 아키텍처 수정이 필요로 하지 않는다.
• 예측을 그룹화하고 중앙값을 효율적으로 계산하기 위해 바인딩 및 정렬 전략을 구현함으로써, 안정성과 인증의 엄밀함을 향상시킨다.

실험 결과

연구 질문

• RQ1 평균 기반 스무딩이 실패하는 객체 검출과 같은 회귀 작업에 대해, 랜덤 스무딩을 어떻게 적응시킬 수 있는가?
• RQ2 재훈련이 필요 없고 모델에 종속되지 않는 인증된 방어 기법을 객체 검출기용으로 구축할 수 있는가?
• RQ3 중앙값 스무딩을 사용할 경우, ℓ₂ 유계 변형에 대해 객체 검출기의 인증된 내성 보장 수준(평균 정밀도 기준)은 어느 정도 달성 가능한가?
• RQ4 기본 검출기의 선택(예: YOLOv3, Mask R-CNN, Faster R-CNN)이 최종 인증 성능에 어떤 영향을 미치는가?
• RQ5 실제 공격에 대한 관찰된 내성 수준에 비해, 인증 경계는 얼마나 엄격한가?

주요 결과

• 제안된 중앙값 스무딩 기법은 기본 검출기로 YOLOv3를 사용하여 MS-COCO 데이터셋에서 처음으로 비현저한 인증된 평균 정밀도 4.21% AP@50를 달성하였다.
• Mask R-CNN와 Faster R-CNN는 더 높은 정상 상태 AP(51.28% 및 50.47%)를 기록했지만, 스무딩 적용 시 인증된 AP는 각각 1.67% 및 1.54%로 떨어지며, 아키텍처에 따라 성능 저하가 발생함을 보여주었다.
• 검출 파이프라인을 공격하는 DAG 공격은 인증 반경 내에서 재현율을 1.1%만 감소시켰으며, 이는 인증 경계가 보수적이지만 타당함을 시사한다.
• 정렬 및 바인딩을 통한 예측 노이즈 제거가 정상 상태 및 인증된 AP를 모두 향상시켜, 내성 보장을 위한 사전 처리의 중요성을 입증하였다.
• 몬테카를로 샘플링(이미지당 2000개)으로 인해 본질적으로 비용이 많이 들며, 추론 속도가 2000배 느려지지만, 재훈련 없이도 인증이 가능하다.
• 이 프레임워크는 일반 목적의 것으로, 모든 회귀 모델에 적용 가능하므로 객체 검출을 넘어서도 광범위한 적용 가능성을 보여준다.