[논문 리뷰] Visual Adversarial Attacks and Defenses in the Physical World: A Survey

Xingxing Wei, Bangzheng Pu외 3명|arXiv (Cornell University)|2022. 11. 03.

Adversarial Robustness in Machine Learning인용 수 5

한 줄 요약

이 종합 검토는 컴퓨터 시각 분야의 물리적 적대적 공격 및 방어 기법에 대한 포괄적인 개요를 제공하며, 공격을 작업, 형태, 방법으로 분류하고, 방어 기법을 사전 처리, 내부 처리, 사후 처리로 분류한다. 이 연구는 이동성, 환경 변화에 대한 내성, 은밀성, 그리고 통합적이고 효율적이며 상충되지 않는 방어 기법이 필요한 과제를 규명하며, 실제 시각 시스템을 위한 AI 안전성 향상을 위한 체계적인 기초를 제공한다.

ABSTRACT

Although Deep Neural Networks (DNNs) have been widely applied in various real-world scenarios, they remain vulnerable to adversarial examples. Adversarial attacks in computer vision can be categorized into digital attacks and physical attacks based on their different forms. Compared to digital attacks, which generate perturbations in digital pixels, physical attacks are more practical in real-world settings. Due to the serious security risks posed by physically adversarial examples, many studies have been conducted to evaluate the physically adversarial robustness of DNNs in recent years. In this paper, we provide a comprehensive survey of current physically adversarial attacks and defenses in computer vision. We establish a taxonomy by organizing physical attacks according to attack tasks, attack forms, and attack methods. This approach offers readers a systematic understanding of the topic from multiple perspectives. For physical defenses, we categorize them into pre-processing, in-processing, and post-processing for DNN models to ensure comprehensive coverage of adversarial defenses. Based on this survey, we discuss the challenges facing this research field and provide an outlook on future directions.

연구 동기 및 목표

• 공격 작업, 형태, 방법을 기반으로 현재의 물리적 적대적 공격을 체계적으로 분류하고 분석하는 것.
• 사전 처리, 내부 처리, 사후 처리 기법을 포함한 물리적 적대적 방어 기법의 포괄적 분류 체계를 제공하는 것.
• 이동성, 환경 변화에 대한 내성, 은밀성과 같은 물리적 적대적 내성에 대한 주요 열린 과제를 규명하는 것.
• 다양한 공격 형태에 대응할 수 있는 통합적이고 효율적이며 상충되지 않는 공격에 대한 방어 기법 개발을 위한 향후 연구 방향을 제시하는 것.
• 자율 주행 및 감시와 같은 실제 응용 분야에서 더 안전한 딥 러닝 시스템 개발을 지원하는 것.

제안 방법

• 공격 작업(예: 객체 검출, 얼굴 인식), 공격 형태(예: 패치 기반, 통합형), 공격 방법(예: 최적화 기반, 기울기 기반)을 축으로 하여 물리적 적대적 공격을 분류한다.
• 사전 처리(예: 이미지 변환), 내부 처리(예: 적대적 훈련), 사후 처리(예: 재확인, 드리프트-확산 모델) 기법을 포함한 세 가지 범주로 물리적 방어 기법을 분류한다.
• 카메라 왜곡, 시점 변화, 조도 변화, 센서 처리에 대한 저항성을 평가하는 프레임워크를 제안한다.
• 논리적 추론과 도메인 지식을 사후 처리 방어에 통합하여 분류 일관성을 향상시키고 비합리적 예측을 방지한다.
• 드롭아웃을 적용한 드리프트-확산 모델(Drift-Diffusion Model, DDM)을 변형하여 임계값 기반의 증거 누적 방식을 도입해 강력한 추론을 가능하게 한다.
• 고성능 모델인 ViT 기반 방어 기법을 검토하며, 고립된 밴드 자기주의를 활용해 추론 속도를 가속화하면서도 내성 유지에 기여한다.

실험 결과

연구 질문

• RQ1 공격 작업, 형태, 방법 측면에서 물리적 적대적 공격를 어떻게 체계적으로 분류할 수 있는가?
• RQ2 사전 처리, 내부 처리, 사후 처리 단계에서 물리적 적대적 예시에 대응하는 주요 방어 기법은 무엇이며, 각각 어떻게 다를 수 있는가?
• RQ3 이동성, 내성, 은밀성, 자연스러움을 갖춘 물리적 공격을 개발하는 데 있어 주요 과제는 무엇인가?
• RQ4 다양한 공격 형태에 대응할 수 있는 통합적 방어 기법을 어떻게 설계하여 효율성을 희생하지 않을 수 있는가?
• RQ5 기존 접근 방식에서 내재된 정확도-내성 상충을 피할 수 있는 효율적인 물리적 방어 기법을 개발할 수 있는가?

주요 결과

• 디지털 공격에 비해 물리적 공격는 더 실용적이지만, 시점 변화, 조도 변화, 카메라 처리에 대한 내성 문제를 겪는다.
• 현재의 기반 이동 공격는 여전히 약하며, 특히 쿼리 접근이 불가능한 블랙박스 환경에서는 더욱 취약하다.
• 은밀성은 여전히 주요 과제이며, 센서 캡처 조건에서 효과적으로 작용하기 위해 시각적으로 명확한 패턴이 필요로 한다.
• 논리적 추론과 증거 누적(예: DDDM)을 활용한 사후 처리 방어 기법은 비합리적 오분류를 크게 감소시킨다.
• 다양한 공격 유형에 일반화할 수 있는 통합 방어 기법은 여전히 개발이 부족하여 핵심 연구 격차를 드러낸다.
• 추가적인 계산 비용 없이 효율적인 방어 기법은 아직 실현되지 않았으며, 물리적 환경에서 정확도-내성 상충 문제가 여전히 지속된다.