[논문 리뷰] UPC: Learning Universal Physical Camouflage Attacks on Object Detectors.

Lifeng Huang, Chengying Gao외 5명|arXiv (Cornell University)|2019. 09. 10.

Adversarial Robustness in Machine Learning인용 수 3

한 줄 요약

이 논문은 실세계 환경에서 특정 카테고리(예: 사람, 차량)의 모든 인스턴스를 공격하는 데 성공하는 유니버설 적대적 패턴을 생성하는 유니버설 물리적 카모플라주(UPC)를 제안한다. 영역 제안, 분류, 회귀 헤드를 동시에 공격하면서 탄성 변형과 자연스러움 제약 조건을 적용함으로써, UPC는 가상(AttackScenes) 및 물리적 환경 모두에서 높은 공격 성공률를 달성한다.

ABSTRACT

In this paper, we study physical adversarial attacks on object detectors in the wild. Prior arts on this matter mostly craft instance-dependent perturbations only for rigid and planar objects. To this end, we propose to learn an adversarial pattern to effectively attack all instances belonging to the same object category (e.g., person, car), referred to as Universal Physical Camouflage Attack (UPC). Concretely, UPC crafts camouflage by jointly fooling the region proposal network, as well as misleading the classifier and the regressor to output errors. In order to make UPC effective for articulated non-rigid or non-planar objects, we introduce a set of transformations for the generated camouflage patterns to mimic their deformable properties. We additionally impose optimization constraint to make generated patterns look natural for human observers. To fairly evaluate the effectiveness of different physical-world attacks on object detectors, we present the first standardized virtual database, AttackScenes, which simulates the real 3D world in a controllable and reproducible environment. Extensive experiments suggest the superiority of our proposed UPC compared with existing physical adversarial attackers not only in virtual environments (AttackScenes), but also in real-world physical environments. Codes, models, and demos are publicly available at https://mesunhlf.github.io/index_physical.html.

연구 동기 및 목표

• 기존 물리적 적대적 공격이 인스턴스 특정이어서 유연하거나 평면이 아닌 물체에 효과적이지 못하는 한계를 해결하기 위해.
• 실세계에서 특정 물체 카테고리(예: 모든 사람)의 모든 인스턴스를 공격할 수 있는 유니버설 적대적 패턴을 개발하기 위해.
• 생성된 패턴이 인간 관찰자에게 자연스럽게 보이도록 하면서도 높은 공격 효과성을 유지하기 위해.
• 물리적 적대적 공격의 평가를 위한 표준화되고 재현 가능한 벤치마크를 구축하기 위해.

제안 방법

• 물체 검출기의 영역 제안 네트워크, 분류기, 바운딩 박스 회귀기 모두를 동시에 속이는 유니버설 적대적 패턴을 설계하기 위해.
• 관절이나 비강성 물체(예: 움직이는 사람)의 탄성 특성을 시뮬레이션하기 위해 다양한 미분 가능한 변형을 적용하기 위해.
• 생성된 패턴이 인간 관찰자에게 자연스럽게 보이도록 하기 위해 인지적 손실과 공간 정규화를 통합하기 위해.
• 제어 가능하고 재현 가능한 물리적 적대적 공격 평가를 위한 표준화된 가상 3D 환경인 AttackScenes를 도입하기 위해.
• 공격 성공률와 시각적 자연스러움을 통합한 다목적 손실을 사용하여 유니버설 패턴을 엔드 투 엔드로 최적화하기 위해.
• 가상 환경에서 실제 조명, 시점, 시각적 왜곡을 시뮬레이션하기 위해 미분 가능한 렲팅 파이프라인을 사용하기 위해.

실험 결과

연구 질문

• RQ1 단일 유니버설 적대적 패턴이 실세계 물리적 환경에서 특정 카테고리의 모든 인스턴스를 효과적으로 공격할 수 있는가?
• RQ2 제안된 방법은 인스턴스 특정 공격 대비 비유연하거나 비평면 물체에서 어떻게 성능을 발휘하는가?
• RQ3 탄성 변형을 포함함으로써 관절이 있는 물체에서 공격 성공률는 얼마나 향상되는가?
• RQ4 기존 공격 대비 표준화된 재현 가능한 가상 벤치마크에서 제안된 방법의 효과성은 어떠한가?
• RQ5 생성된 패턴은 가상 및 실세계 환경 모두에서 높은 공격 성공률를 달성하면서도 시각적 자연스러움을 유지할 수 있는가?

주요 결과

• UPC는 AttackScenes 가상 벤치마크와 실세계 물리적 설정 양쪽에서 기존 물리적 적대적 공격보다 유의미하게 높은 공격 성공률를 달성한다.
• 탄성 변형의 포함으로 비유연하고 관절이 있는 물체(예: 다양한 자세로 움직이는 사람)에서의 공격 성공률가 향상된다.
• 인간 평가 및 인지 유사도 지표를 통해 생성된 패턴이 높은 시각적 자연스러움을 유지함을 확인할 수 있다.
• 재최적화 없이도 동일 카테고리의 여러 인스턴스를 성공적으로 공격할 수 있기 때문에 일반화 성능 측면에서 인스턴스 특정 공격을 능가한다.
• 표준화된 AttackScenes 벤치마크는 물리적 적대적 공격의 신뢰성 있고 재현 가능한 평가를 가능하게 하여 다양한 방법 간의 공정한 비교를 촉진한다.
• 가상 및 실세계 배포 환경에서 다양한 조명, 시점, 배경 조건에서도 제안된 방법이 강건함을 입증한다.