[논문 리뷰] Note on Attacking Object Detectors with Adversarial Stickers

Kevin Eykholt, Ivan Evtimov외 7명|arXiv (Cornell University)|2017. 12. 21.

Adversarial Robustness in Machine Learning참고 문헌 9인용 수 37

한 줄 요약

이 논문은 정지 신호등과 같은 실제 물체에 적용할 수 있는 작은 인쇄 가능한 교란을 생성하여 YOLO와 Faster-RCNN 객체 검출기의 인식을 성공적으로 속이는 물리적 적대적 스티커 공격을 제시한다. 이 방법은 다양한 물리적 조건을 시뮬레이션하고 이동 불변성을 강제하는 최적화 기반 알고리즘을 사용하여 실제 환경 제약 조건 하에서 정적 이미지 및 동적 영상 시나리오 모두에서 높은 성공률을 달성한다.

ABSTRACT

Deep learning has proven to be a powerful tool for computer vision and has seen widespread adoption for numerous tasks. However, deep learning algorithms are known to be vulnerable to adversarial examples. These adversarial inputs are created such that, when provided to a deep learning algorithm, they are very likely to be mislabeled. This can be problematic when deep learning is used to assist in safety critical decisions. Recent research has shown that classifiers can be attacked by physical adversarial examples under various physical conditions. Given the fact that state-of-the-art objection detection algorithms are harder to be fooled by the same set of adversarial examples, here we show that these detectors can also be attacked by physical adversarial examples. In this note, we briefly show both static and dynamic test results. We design an algorithm that produces physical adversarial inputs, which can fool the YOLO object detector and can also attack Faster-RCNN with relatively high success rate based on transferability. Furthermore, our algorithm can compress the size of the adversarial inputs to stickers that, when attached to the targeted object, result in the detector either mislabeling or not detecting the object a high percentage of the time. This note provides a small set of results. Our upcoming paper will contain a thorough evaluation on other object detectors, and will present the algorithm.

연구 동기 및 목표

• 최신 객체 검출기인 YOLO와 Faster-RCNN가 물리적 적대적 예제에 얼마나 취약한지 조사하는 것.
• 다양한 조명, 시점, 운동 등 실제 물리적 조건에서 효과적인 내구성 있는 인쇄 가능한 적대적 스티커를 생성하는 방법을 개발하는 것.
• YOLO에서 생성한 적대적 스티커가 블랙박스 설정에서 다른 검출기인 Faster-RCNN로의 전이 가능성 평가하는 것.
• 분류기보다 더 견고한 것으로 간주되는 객체 검출기라도 철저히 설계된 물리적 교란에 의해 여전히 속일 수 있음을 보여주는 것.

제안 방법

• 최적화 기반 알고리즘은 정상적인 객체(예: 정지 신호등)의 픽셀을 교란하여 객체 검출기가 잘못 분류되거나 검출하지 못하도록 최대화하는 방식으로 적대적 스티커를 생성한다.
• 실제 배포에 대한 내구성을 확보하기 위해 카메라 각도, 조도 변화, 운동 흐림 등의 다양한 물리적 조건을 시뮬레이션한다.
• 이동 불변성을 명시적으로 강제하여 교란이 장면 내 객체의 위치나 방향에 관계없이 효과를 유지하도록 한다.
• YOLO용으로 생성한 동일한 적대적 스티커를 사용해 다른 검출기인 Faster-RCNN를 공격하기 위해 전이성을 활용한다.
• 교란을 소형 인쇄 가능한 스티커로 압축하여 실제 물체에 부착하여 실제 환경에서의 효과를 테스트한다.
• 스마트폰 카메라로 촬영한 정적 이미지 및 영상 시퀀스를 사용하여 검증하여 자율 주행 조건을 시뮬레이션한다.

실험 결과

연구 질문

• RQ1 실제 물리적 조건 하에서 YOLO와 같은 실시간 객체 검출기의 인식을 물리적 적대적 스티커가 효과적으로 속일 수 있는가?
• RQ2 YOLO용으로 설계된 적대적 스티커가 블랙박스 설정에서 다른 검출기인 Faster-RCNN로 얼마나 잘 전이되는가?
• RQ3 최적화 과정에서 물리적 조건 시뮬레이션을 포함함으로써 적대적 스티커의 실제 배포 내구성은 얼마나 향상되는가?
• RQ4 목표 객체가 장면에서 움직이거나 위치가 변경되더라도 이동 불변 교란이 높은 공격 성공률을 유지할 수 있는가?
• RQ5 특히 자율 주행 환경에서 동적 영상 시나리오에서 적대적 스티커의 성능은 어떠한가?

주요 결과

• 다양한 카메라 각도와 조도 조건 하에서 정적 이미지 테스트에서 YOLO는 100%의 비율로 정지 신호등을 잘못 분류하거나 검출하지 못했다.
• 동적 영상 시퀀스에서는 카메라가 몇 피트 내에 있을 때만 YOLO가 정지 신호등을 검출하는 것으로 나타나 실제 환경 조건 하에서 반응 시간이 심각하게 지연됨을 보여주었다.
• 동일한 스티커는 Faster-RCNN를 성공적으로 속였으며, 블랙박스 공격임에도 불구하고 효과적인 전이성을 입증했다.
• 물리적 조건 시뮬레이션과 이동 불변성을 최적화 과정에 통합함으로써 적대적 스티커의 내구성과 실제 환경 적용 효과가 크게 향상되었다.
• 목표 객체가 장면에서 움직이거나 재배치되어도 공격 성공률이 높게 유지되었으며, 이는 최적화 과정에서 이동 불변성의 중요성을 확인시켰다.
• 결과적으로 객체 검출기는 분류기보다 더 견고하지만, 철저히 설계된 물리적 적대적 예제에는 여전히 취약함을 보여주었다.