[논문 리뷰] Robust Physical Adversarial Attack on Faster R-CNN Object Detector

Shang-Tse Chen, Cory Cornelius외 2명|arXiv (Cornell University)|2018. 04. 16.

Adversarial Robustness in Machine Learning인용 수 52

한 줄 요약

이 논문은 시점 변화, 조도 변화 및 카메라 효과와 같은 실제 세계의 왜곡을 견디는 편집을 생성하기 위해 Expectation over Transformation (EoT) 기법을 적응시켜 Faster R-CNN 객체 검출기 대상으로 강건한 물리적 적대적 공격을 제안한다. 이 방법은 다양한 척도와 시야 조건에서 정지 표지판을 다른 객체로 오류 분류시키는데 성공하여 자율 주행과 같은 안전이 중요한 시스템에서 심각한 취약성을 드러낸다.

ABSTRACT

Given the ability to directly manipulate image pixels in the digital input space, an adversary can easily generate imperceptible perturbations to fool a Deep Neural Network (DNN) image classifier, as demonstrated in prior work. In this work, we tackle the more challenging problem of crafting physical adversarial perturbations to fool image-based object detectors like Faster R-CNN. Attacking an object detector is more difficult than attacking an image classifier, as it needs to mislead the classification results in multiple bounding boxes with different scales. Extending the digital attack to the physical world adds another layer of difficulty, because it requires the perturbation to be robust enough to survive real-world distortions due to different viewing distances and angles, lighting conditions, and camera limitations. We show that the Expectation over Transformation technique, which was originally proposed to enhance the robustness of adversarial perturbations in image classification, can be successfully adapted to the object detection setting. Our approach can generate adversarially perturbed stop signs that are consistently mis-detected by Faster R-CNN as other objects, posing a potential threat to autonomous vehicles and other safety-critical computer vision systems.

연구 동기 및 목표

• 실제 세계 환경에서 Faster R-CNN과 같은 객체 검출기를 신뢰성 있게 속이는 물리적 적대적 예제를 생성하는 데 도전하는 것.
• 다양한 시야 거리, 각도, 조도 및 카메라 제약 조건에서 적대적 편집을 유지하는 데 어려움을 극복하는 것.
• 원래 디지털 이미지 분류에 사용된 Expectation over Transformation (EoT) 기법을 다중 바운딩 박스 및 척도 변화가 있는 더 복잡한 객체 검출 환경에 적응시키는 것.
• 실제 세계의 객체 검출 시스템, 특히 자율 주행과 같은 안전이 중요한 애플리케이션에서 물리적 적대적 공격의 가능성과 강건성을 입증하는 것.

제안 방법

• 실제 세계의 변형에 강건한 적대적 편집을 확보하기 위해 객체 검출 환경에 Expectation over Transformation (EoT) 기법을 적응시키는 것.
• 카메라 및 환경적 요인로 인한 회전, 스케일링, 블러링 등의 왜곡에도 효과를 유지하는 물리적 정지 표지판에 대한 적대적 편집을 생성하는 것.
• 다양한 실제 세계 이미지 손상 및 시점 변화를 시뮬레이션하는 가역적 변환 프로세스를 사용해 편집을 최적화하는 것.
• 물리적 정지 표지판에 편집을 적용하고, 다양한 조건(다른 거리 및 각도 포함)에서의 오검출률을 테스트하는 것.
• 타겟 모델로 Faster R-CNN 검출기를 사용하고, 정지 표지판을 다른 객체 카테고리로 오분류시키는 것을 목표로 하는 것.
• 다양한 환경 조건에서의 여러 추론 실행 동안 오검출 빈도를 측정하여 공격 성공 여부를 평가하는 것.

실험 결과

연구 질문

• RQ1 디지털 이미지 분류를 위한 적대적 편집 기법이 실제 세계에서 Faster R-CNN과 같은 객체 검출기를 효과적으로 속일 수 있는가?
• RQ2 시점 변화, 조도 변화 및 카메라 블러와 같은 실제 세계의 왜곡에 대해 적대적 편집은 얼마나 강건한가?
• RQ3 Expectation over Transformation (EoT) 기법은 객체 검출에서 물리적 강건성을 얼마나 향상시키는가?
• RQ4 자율 주행 시스템에서 정지 표지판을 다른 객체로 일관되게 오검출시키기 위해 신뢰성 있게 물리적 적대적 예제를 생성할 수 있는가?
• RQ5 다양한 척도와 시야 각도를 포함한 실제 구현 조건에서 이러한 공격의 성공률은 얼마인가?

주요 결과

• 제안된 방법은 다양한 테스트 조건에서 Faster R-CNN이 정지 표지판을 다른 객체로 오류 분류하도록 지속적으로 유도하는 물리적 적대적 편집을 성공적으로 생성했다.
• Expectation over Transformation 기법의 사용은 적대적 예제의 강건성을 크게 향상시켜 시점 변화 및 카메라 블러와 같은 실제 세계의 왜곡을 견딜 수 있도록 했다.
• 편집된 정지 표지판이 다른 거리와 각도에서 관찰되더라도 높은 성공률을 유지하여 실용적 타당성을 입증했다.
• 적대적 편집은 인간의 눈으로는 인식하기 어려워 원래 표지판의 시각적 정합성을 유지했다.
• 이 공격는 자율 주행에서 사용되는 객체 검출 시스템에 심각한 취약성을 드러내며, 물리적 적대적 예제가 위험한 오분류를 유도할 수 있음을 보여주었다.
• 결과적으로 물리적 적대적 공격가 안전이 중요한 컴퓨터 비전 응용 분야에 실질적인 위협이 된다는 것이 확인되었다.