[논문 리뷰] Physical Adversarial Examples for Object Detectors

Kevin Eykholt, Ivan Evtimov외 7명|arXiv (Cornell University)|2018. 07. 20.

Adversarial Robustness in Machine Learning참고 문헌 19인용 수 104

한 줄 요약

이 논문은 포스터나 스티커로 정지 표지판을 물리적으로 교란하여 실내외 환경에서 객체 탐지기(YOLOv2 및 Faster R-CNN)를 속이는 방법을 보여주며, 높은 소멸 공격 성공률과 부분적 전이 가능성을 시연한다.

ABSTRACT

Deep neural networks (DNNs) are vulnerable to adversarial examples-maliciously crafted inputs that cause DNNs to make incorrect predictions. Recent work has shown that these attacks generalize to the physical domain, to create perturbations on physical objects that fool image classifiers under a variety of real-world conditions. Such attacks pose a risk to deep learning models used in safety-critical cyber-physical systems. In this work, we extend physical attacks to more challenging object detection models, a broader class of deep learning algorithms widely used to detect and label multiple objects within a scene. Improving upon a previous physical attack on image classifiers, we create perturbed physical objects that are either ignored or mislabeled by object detection models. We implement a Disappearance Attack, in which we cause a Stop sign to "disappear" according to the detector-either by covering thesign with an adversarial Stop sign poster, or by adding adversarial stickers onto the sign. In a video recorded in a controlled lab environment, the state-of-the-art YOLOv2 detector failed to recognize these adversarial Stop signs in over 85% of the video frames. In an outdoor experiment, YOLO was fooled by the poster and sticker attacks in 72.5% and 63.5% of the video frames respectively. We also use Faster R-CNN, a different object detection model, to demonstrate the transferability of our adversarial perturbations. The created poster perturbation is able to fool Faster R-CNN in 85.9% of the video frames in a controlled lab environment, and 40.2% of the video frames in an outdoor environment. Finally, we present preliminary results with a new Creation Attack, where in innocuous physical stickers fool a model into detecting nonexistent objects.

연구 동기 및 목표

• 물리적 교란이 이미지 분류기 너머의 객체 탐지기를 속일 수 있는지 여부를 조사.
• RP2를 검출기에 대해 로버스트하고 위치- 자세 변화에 대응하는 공격으로 확장.
• Stop sign 탐지 출력대를 대상으로 소멸 및 생성 공격 개발.
• 다양한 환경에서 탐지기 간 전이 가능성 평가.

제안 방법

• RP2 알고리즘을 객체 탐지기에 맞춘 새로운 손실로 확장.
• 물리적 장면 변화를 시뮬레이션하기 위해 합성 회전 및 위치를 모델링.
• 더 매끄러운 교란을 위해 L2/NPS 스무딩을 전체 변분(norm)으로 대체.
• 모든 셀/박스에서 Stop 표지판 탐지 확률을 최소화하는 소멸 공격 손실 정의.
• 대립적 스티커를 사용하여 존재하지 않는 물체의 탐지를 생성하는 생성 공격 손실 정의.
• YOLO v2(화이트박스)에서의 공격 평가 및 Faster R-CNN으로의 전이성(블랙박스) 평가.

실험 결과

연구 질문

• RQ1 실제 세계 조건에서 Stop 표지판에 대한 물리적 교란이 최첨단 객체 탐지기를 속일 수 있는가?
• RQ2 포스터 및 스티커 교란이 탐지기에 위치한 물체를 무시하거나 라벨을 잘못 부여하게 하는가(소멸/생성)?
• RQ3 물리적 공격 교란이 탐지기 아키텍처 간에 전이 가능한가(YOLOv2에서 Faster R-CNN으로)?
• RQ4 실내 대 실외 환경에서 이러한 공격의 강건성은 얼마나 되는가?

주요 결과

• 실내 포스터 공격에서 YOLOv2를 85.6%의 프레임에서 속였고 실외에서도 72.5%의 프레임에서 속임(포스터); 실내 스티커는 85.0%, 실외 63.5%에서 속임.
• Faster R-CNN은 포스터 공격으로 실내 85.9%, 실외 40.2%를 속였고, 스티커 공격은 실내 58.9%, 실외 18.9%를 속였다.
• 생성 공격은 YOLOv2에서 대립적 스티커를 Stop 표지판으로 탐지하는 초기 성공을 보였고 전이 가능성의 가능성을 시사했다.
• 실내의 제어된 환경에서 공격이 더 신뢰받으며, 야외 조건은 효과를 감소시키지만 여전히 의미 있는 방해를 달성한다.
• 위치 및 회전 불변성으로의 확장은 시점 변화에 대한 견고성을 향상시킨다.