[논문 리뷰] Identifying and Resisting Adversarial Videos Using Temporal Consistency

Xiaojun Jia, Xingxing Wei외 1명|arXiv (Cornell University)|2019. 09. 11.

Adversarial Robustness in Machine Learning참고 문헌 31인용 수 11

한 줄 요약

이 논문은 시간적 일관성을 활용하여 공격를 탐지하고, 공격 유형에 맞게 적절한 공간적 또는 시간적 노이즈 제거를 적용함으로써 적대적 비디오에 대한 이중 단계 방어 프레임워크를 제안한다. 딥 네트워크에서 프레임 간 출력 일관성이 어뷰리어스 편향에 의해 손상된다는 사실을 활용하여, 희박한 및 조밀한 공격을 탐지하고, ComDefend(공간적) 또는 시간적 복원(시간적)을 적용하여 강건성을 복원함으로써 UCF-101에서 뚜렷한 정확도 향상을 달성한다.

ABSTRACT

Video classification is a challenging task in computer vision. Although Deep Neural Networks (DNNs) have achieved excellent performance in video classification, recent research shows adding imperceptible perturbations to clean videos can make the well-trained models output wrong labels with high confidence. In this paper, we propose an effective defense framework to characterize and defend adversarial videos. The proposed method contains two phases: (1) adversarial video detection using temporal consistency between adjacent frames, and (2) adversarial perturbation reduction via denoisers in the spatial and temporal domains respectively. Specifically, because of the linear nature of DNNs, the imperceptible perturbations will enlarge with the increasing of DNNs depth, which leads to the inconsistency of DNNs output between adjacent frames. However, the benign video frames often have the same outputs with their neighbor frames owing to the slight changes. Based on this observation, we can distinguish between adversarial videos and benign videos. After that, we utilize different defense strategies against different attacks. We propose the temporal defense, which reconstructs the polluted frames with their temporally neighbor clean frames, to deal with the adversarial videos with sparse polluted frames. For the videos with dense polluted frames, we use an efficient adversarial denoiser to process each frame in the spatial domain, and thus purify the perturbations (we call it as spatial defense). A series of experiments conducted on the UCF-101 dataset demonstrate that the proposed method significantly improves the robustness of video classifiers against adversarial attacks.

연구 동기 및 목표

• 비추측 가능하게 작은 편향을 악용하는 적대적 공격에 취약한 딥 비디오 분류기의 문제를 해결한다.
• 영상 기반 방어 기법의 한계를 극복하기 위해 비디오 데이터에 특화된 시간적 동역학을 통합한다.
• 이웃 프레임 간 출력 일관성을 사용하여 정상 비디오와 적대적 비디오를 구분하는 탐지 기반을 개발한다.
• 다양한 공격 패tern(희박 대 조밀한 화면 오염)에 맞게 적응형 방어 전략—공간적 및 시간적—을 설계한다.

제안 방법

• 이웃 프레임 간 DNN 출력의 시간적 일관성을 탐지 신호로 사용: 정상 비디오는 높은 일관성을 보이며, 적대적 비디오는 편향 증폭으로 인해 일관성이 떨어진다.
• 시간적 일관성에 대한 정량적 지표를 도입하여 입력을 세 가지 유형으로 분류: 정상, 희박한 적대적, 조밀한 적대적 비디오.
• 희박한 공격에 대한 시간적 방어: 움직임 추정과 이웃 정상 프레임을 사용하여 오염된 프레임을 복원하여 시간적 일관성을 회복한다.
• 조밀한 공격에 대한 공간적 방어: ComDefend, 즉 엔드 투 엔드 이미지 압축 기반 노이즈 제거기로 각 프레임을 단계별로 처리하여 적대적 편향을 제거한다.
• 탐지 및 방어를 통합된 파이프라인으로 통합: 탐지 결과에 따라 방어 전략을 선택하여 정상 비디오 성능을 유지하면서 강건성을 극대화한다.

실험 결과

연구 질문

• RQ1 이웃 프레임 간 DNN 출력의 시간적 일관성이 적대적 비디오 공격을 신뢰성 있게 탐지할 수 있는가?
• RQ2 이 방법은 화면 수준의 출력 행동을 바탕으로 희박한 공격와 조밀한 공격을 어떻게 구분하는가?
• RQ3 희박한 적대적 공격에 대해 시간적 복원이 효과적으로 작용하는가? 이 경우 핵심 프레임만 오염되어 있다.
• RQ4 ComDefend를 사용한 공간적 노이즈 제거는 모든 프레임이 오염된 조밀한 적대적 공격을 효과적으로 완화할 수 있는가?
• RQ5 탐지와 적응형 방어 전략을 조합함으로써 정상 비디오 정확도를 떨어뜨리지 않으면서도 전체적인 강건성을 향상시킬 수 있는가?

주요 결과

• 탐지 모듈은 시간적 일관성 지표를 사용하여 비디오를 정상, 희박한 적대적, 조밀한 적대적 비디오 유형으로 성공적으로 분류한다.
• 시간적 방어는 희박한 공격에 대해 정확도를 크게 향상시킨다: CNN+LSTM의 정확도가 희박한 공격 조건에서 31%에서 55%로 상승한다.
• 공간적 방어는 조밀한 공격에 대해 뛰어난 성능을 보이며, C3D의 정확도가 조밀한 공격 조건에서 59%에서 73%로 향상된다.
• 탐지와 적응형 방어 전략을 통합한 프레임워크는 단독으로 적용된 방어 기법보다 높은 전체 정확도를 달성한다.
• 정상 비디오에서 시간적 방어는 정확도 저하가 매우 미미하며(방어 공격에 의한 저하보다 훨씬 낮다), 정상 입력과의 호환성이 뛰어나다.
• 이 방법은 시간과 공간에 걸쳐 편향 전파 방식의 구조적 차이를 활용하여 최신의 비디오 적대적 공격을 효과적으로 저지한다.