[논문 리뷰] GhostImage: Remote Perception Attacks against Camera-based Image Classification Systems

Yanmao Man, Ming Li외 1명|arXiv (Cornell University)|2020. 01. 21.

Adversarial Robustness in Machine Learning인용 수 13

한 줄 요약

GhostImage는 저비용 프roジェク터와 최적화된 채널 모델을 활용해, 렌즈 플레어와 오토露出 제어 효과를 악용하여 카메라 기반 이미지 분류 시스템에 악성 패턴을 '유령 이미지(Ghost Image)'로 투사하는 원거리, 비차단 공격을 제안한다. 짧은 거리 조건에서 이 공격는 교통 표지와 같은 객체를 생성하거나 변조하는 데 최대 100%의 성공률를 기록한다.

ABSTRACT

In vision-based object classification systems imaging sensors perceive the environment and machine learning is then used to detect and classify objects for decision-making purposes; e.g., to maneuver an automated vehicle around an obstacle or to raise an alarm to indicate the presence of an intruder in surveillance settings. In this work we demonstrate how the perception domain can be remotely and unobtrusively exploited to enable an attacker to create spurious objects or alter an existing object. An automated system relying on a detection/classification framework subject to our attack could be made to undertake actions with catastrophic results due to attacker-induced misperception. We focus on camera-based systems and show that it is possible to remotely project adversarial patterns into camera systems by exploiting two common effects in optical imaging systems, viz., lens flare/ghost effects and auto-exposure control. To improve the robustness of the attack to channel effects, we generate optimal patterns by integrating adversarial machine learning techniques with a trained end-to-end channel model. We experimentally demonstrate our attacks using a low-cost projector, on three different image datasets, in indoor and outdoor environments, and with three different cameras. Experimental results show that, depending on the projector-camera distance, attack success rates can reach as high as 100% and under targeted conditions.

연구 동기 및 목표

• 카메라 기반 이미지 분류 시스템이 물리적 접근 없이도 광학적 효과를 통해 원거리에서 조작될 수 있음을 입증하는 것.
• 렌즈 플레어와 오토露出 제어를 공격 벡터로 활용해 카메라 피드에 악성 패턴을 주입하는 것.
• 채널 왜곡과 프로젝터-카메라 기하학적 관계를 고려한 강력한 공격 프레임워크를 개발하는 것.
• 단지 빛 투사만으로도 객체(예: 정지 표지(STOP sign)를 양보 표지(YIELD sign)로 변경)를 생성하거나 변조하는 데 높은 성공률를 달성하는 것.
• 실제 하드웨어를 사용해 다양한 환경과 카메라 시스템에서 공격를 검증하는 것.

제안 방법

• 불완전한 렌즈에서 발생하는 빛 굴절과 반사로 인해 발생하는 렌즈 플레어 효과를 활용해, 악성 패턴을 카메라 이미지에 '유령 아티팩트'로 투사하는 것.
• 배경을 어둡게 하고 투사된 패턴을 밝게 하여 유령 이미지의 가시성을 높이기 위해 오토露出 제어를 악용하는 것.
• 물리적 설정에 기반해 유령 해상도, 색상, 위치를 예측할 수 있는 경험적 프로젝터-카메라 채널 모델을 구축하는 것.
• 해상도 제약 조건 하에서 분류기 인식을 고려해 공격 패턴을 최적화하기 위해 악성 기계학습과 채널 모델을 통합하는 것.
• 저비용 프로젝터를 사용해 카메라를 망치거나 물리적 장치 접근 없이도 원거리에서 패턴을 주입하는 것.
• 세 대의 카메라, 세 개의 데이터셋, 실내/실외 환경을 활용한 실제 설정을 통해 공격를 검증하는 것.

실험 결과

연구 질문

• RQ1 직접 센서 접근이나 물리적 수정 없이도 빛 투사만으로 악성 패턴을 카메라 피드에 주입할 수 있는가?
• RQ2 렌즈 플레어와 오토露出 효과는 어떻게 원거리에서 이미지 분류 시스템을 조작하는 데 기여하는가?
• RQ3 프로젝터-카메라 거리가 주입된 유령 패턴의 해상도와 탐지 가능성에 어떤 영향을 미치는가?
• RQ4 장거리로 인한 낮은 해상도 제약 조건 하에서 악성 패턴 최적화가 공격 성공률를 향상시킬 수 있는가?
• RQ5 다양한 실세계 환경과 카메라 모델에서 이 공격는 얼마나 효과적인가?

주요 결과

• 짧은 프로젝터-카메라 거리 조건에서 공격는 악성 객체 생성에 대해 100%의 성공률를 기록하여 분류 결과에 대한 완전한 제어를 입증했다.
• 거리가 증가함에 따라 유령 이미지의 해상도가 떨어지면서 공격 성공률가 급격히 감소했으며, 이는 접근성의 중요성을 강조했다.
• 빔 스플리팅 방법은 4×4 해상도 조건에서 총 공격 성공률 55%를 기록하여 제약된 광학 조건 하에서도 가능성을 입증했다.
• 학습된 채널 모델과 악성 기계학습을 통합함으로써 주입된 패턴의 강건성과 인식 정확도가 크게 향상되었다.
• 실제로 정지 표지를 유령 이미지로 주입한 결과, YOLOv3가 이를 정확히 탐지하고 분류하는 데 성공하여 원거리 인식 위조의 가능성을 확인했다.
• 이론적 분석을 통해 추가 렌즈를 사용해 객체 이미지에 직접 노이즈를 오버레이하는 것은 원래 객체를 가리기 때문에 불가능하며, 이는 간접적 주입 방법(예: 유령화)의 필요성을 강화한다.