[논문 리뷰] Seeing isn't Believing: Practical Adversarial Attack Against Object Detectors

Yue Zhao, Hong Zhu외 4명|arXiv (Cornell University)|2018. 12. 26.

Adversarial Robustness in Machine Learning참고 문헌 44인용 수 16

한 줄 요약

이 논문은 새로운 기법인 특징 간섭 강화(FIR)와 향상된 현실성 제약 생성(ERG)을 사용하여 실제 객체 검출기 대상으로 강력한 물리적 적대적 공격을 제안한다. 또한 나타나는 공격을 위해 네스팅된 적대적 예제(nested-AE)를 도입한다. 이 방법은 거리 1m에서 25m, 각도 −60°에서 60°까지 92.4%의 성공률을 기록하며, 블랙박스 모델로의 전이성도 매우 높게 입증한다.

ABSTRACT

In this paper, we presented systematic solutions to build robust and practical AEs against real world object detectors. Particularly, for Hiding Attack (HA), we proposed the feature-interference reinforcement (FIR) method and the enhanced realistic constraints generation (ERG) to enhance robustness, and for Appearing Attack (AA), we proposed the nested-AE, which combines two AEs together to attack object detectors in both long and short distance. We also designed diverse styles of AEs to make AA more surreptitious. Evaluation results show that our AEs can attack the state-of-the-art real-time object detectors (i.e., YOLO V3 and faster-RCNN) at the success rate up to 92.4% with varying distance from 1m to 25m and angles from -60° to 60°. Our AEs are also demonstrated to be highly transferable, capable of attacking another three state-of-the-art black-box models with high success rate.

연구 동기 및 목표

• 다양한 거리, 각도, 조명, 배경 조건에서도 효과를 유지하는 실용적인 적대적 공격을 개발하기 위해.
• 검출기와 객체 간 상대 운동으로 인해 시점과 환경 조건이 변화하는 동적 환경에서 객체 검출기를 공격하는 데 도전하기 위해.
• 이전 연구가 짧은 거리(예: ≤12m)와 좁은 각도(예: ≤15°)에 국한된 바에 비해, 적대적 예제의 강건성을 향상시키기 위해.
• 특히 나타나는 공격에서 객체가 시각적으로 신뢰성 있게 보여야 하므로, 효과적이고 은밀한 적대적 예제를 설계하기 위해.
• 제안된 적대적 예제가 훈련 중에 볼 수 없었던 블랙박스 객체 검출 모델로도 높은 전이성을 보여주기 위해.

제안 방법

• 특징 매핑에서 간섭을 최대화함으로써 적대적 편향을 강화하는 특징 간섭 강화(FIR)를 제안하여 다양한 조건에서도 강건성을 향상시킨다.
• 실제 세계의 왜곡(예: 블러, 조명 변화, 배경 변화)을 고려하여 시각적으로 타당성이 유지되는 적대적 패턴을 생성하기 위해 향상된 현실성 제약 생성(ERG)을 도입한다.
• 장거리 및 단거리 검출을 위한 두 개의 별도 적대적 예제를 조합하여 나타나는 공격에 적합한 네스팅된 적대적 예제(nested-AE)를 개발한다. 이는 다양한 거리에서의 효과성을 보장한다.
• 실제 감시 환경에서 탐지 가능성을 줄이고 은밀함을 높이기 위해 다양한 시각적 스타일을 적대적 패턴에 적용한다.
• 적대적 예제 생성 과정에서 실제 이미지 왜곡(예: 블러, 스케일링, 회전)을 시뮬레이션하기 위해 미분 가능 물리적 변환 모델을 사용하여 일반화 능력을 향상시킨다.
• 차량이 30 km/h 속도로 이동하는 조건에서 객체 검출기를 장착한 실물 테스트를 통해 공격 파이프라인을 검증한다. 이는 동적 자율주행 환경을 시뮬레이션한다.

실험 결과

연구 질문

• RQ1 실제 환경 조건에서 거리 1–25m, 각도 −60°에서 60°까지의 광범위한 범위에서 최신 객체 검출기를 속이기 위해 적대적 예제를 충분히 강건하게 만들 수 있는가?
• RQ2 검출기와 객체 간 상대 운동, 조명 변화, 배경 변화 등의 동적 변화가 발생하더라도 적대적 패턴을 어떻게 설계하여 효과를 유지할 수 있는가?
• RQ3 적대적 예제를 얼마나 현실적으로, 은밀하게 만들 수 있는가? 이는 여전히 객체 검출기를 속이면서도 탐지되는 것을 방지하기 위함이다.
• RQ4 제안된 적대적 예제가 훈련 중에 볼 수 없었던 블랙박스 객체 검출 모델로 얼마나 잘 전이되는가?
• RQ5 기존의 짧은 거리 및 좁은 각도에 국한된 물리적 적대적 공격에 비해, 제안된 방법은 어떻게 우월한가?

주요 결과

• 제안된 적대적 예제는 실제 환경 조건에서 YOLO V3 및 faster-RCNN에서 거리 1m에서 25m, 각도 −60°에서 60°까지 최대 92.4%의 성공률를 기록한다.
• 차량이 30 km/h 속도로 이동하는 실제 도로 테스트에서 성공률가 72%를 초과하여, 동적 환경에서도 강건함을 입증한다.
• 네스팅된 적대적 예제(nested-AE) 방법은 각각 장거리 및 단거리 검출에 최적화된 두 개의 별도 적대적 패턴을 조합함으로써 장거리 및 단거리에서 모두 객체 검출기를 성공적으로 공격한다.
• 적대적 예제는 높은 전이성을 보이며, 추가로 세 개의 최신 블랙박스 객체 검출 모델을 높은 성공률로 성공적으로 공격한다.
• FIR 및 ERG의 사용은 블러, 스케일링, 조명 변화 등의 물리적 왜곡에 대해 강건성을 크게 향상시키며, 이는 이전 연구가 짧은 거리 및 좁은 각도에 국한된 바에 비해 뛰어난 성능을 보인다.
• 객체가 이동하거나 배경 또는 조명 조건이 동적으로 변화하는 상황에서도 메서드가 여전히 효과적이므로, 실생활 배포에 대한 실용성을 확인한다.