[논문 리뷰] X-Adv: Physical Adversarial Object Attacks against X-ray Prohibited Item Detection

Aishan Liu, Jun Guo외 7명|arXiv (Cornell University)|2023. 02. 19.

Adversarial Robustness in Machine Learning인용 수 17

한 줄 요약

X-Adv는 X-ray 금지 물품 탐지기를 속이기 위해 물리적으로 실현 가능한 3D 적대적 금속 물체를 생성하고, 미분 가능한 X-ray 변환기와 정책 기반 위치 탐색을 사용하여 색상 감소 및 가림 현상을 극복한다. 디지털 및 물리적 세계 공격을 모두 시연하고 XAD 데이터셋을 제공한다.

ABSTRACT

Adversarial attacks are valuable for evaluating the robustness of deep learning models. Existing attacks are primarily conducted on the visible light spectrum (e.g., pixel-wise texture perturbation). However, attacks targeting texture-free X-ray images remain underexplored, despite the widespread application of X-ray imaging in safety-critical scenarios such as the X-ray detection of prohibited items. In this paper, we take the first step toward the study of adversarial attacks targeted at X-ray prohibited item detection, and reveal the serious threats posed by such attacks in this safety-critical scenario. Specifically, we posit that successful physical adversarial attacks in this scenario should be specially designed to circumvent the challenges posed by color/texture fading and complex overlapping. To this end, we propose X-adv to generate physically printable metals that act as an adversarial agent capable of deceiving X-ray detectors when placed in luggage. To resolve the issues associated with color/texture fading, we develop a differentiable converter that facilitates the generation of 3D-printable objects with adversarial shapes, using the gradients of a surrogate model rather than directly generating adversarial textures. To place the printed 3D adversarial objects in luggage with complex overlapped instances, we design a policy-based reinforcement learning strategy to find locations eliciting strong attack performance in worst-case scenarios whereby the prohibited items are heavily occluded by other items. To verify the effectiveness of the proposed X-Adv, we conduct extensive experiments in both the digital and the physical world (employing a commercial X-ray security inspection system for the latter case). Furthermore, we present the physical-world X-ray adversarial attack dataset XAD.

연구 동기 및 목표

• 안전-critical 설정에서 X-ray 금지 아이템 탐지기의 강건성 평가를 자극한다.
• 색상 감소로 인해 텍스처 대신 적대적 형태를 사용하는 물리적 세계 적대 공격 프레임워크(X-Adv)를 제안한다.
• 경사 기반 최적화를 가능하게 하는 X-ray 이미지를 3D 적대적 형태로 투사하기 위한 미분 가능한 X-ray 컨버터를 개발한다.
• 가장 나쁜 경우의 가림에 대응하여 정책 기반 강화 학습 접근법으로 최적의 공격 위치를 탐색한다.
• 디지털 및 물리적 실험에서의 효과를 검증하고 XAD 데이터셋을 제공한다.

제안 방법

• 적대적 형태(P)를 가진 물리적으로 인쇄 가능한 3D 금속 물체를 생성하여 X-ray 탐지기를 속인다.
• X-ray 투사를 시뮬레이션하고 형상에 대한 surrogate 탐지기에 대해 경사 기반 최적화를 가능하게 하는 미분 가능한 컨버터 R_delta를 사용한다.
• 물체 형상 P와 배치 C를 함께 최적화하여 잘못 분류되도록 하되 물리적 실현 가능성을 유지하기 위한 지각적/정규화 항을 포함한다.
• 가림 아래에서도 강건한 배치를 찾기 위해 REINFORCE로 정책으로 공격 위치 탐색을 모델링하고, 공격 강도와 위치 다양성(G 보상)을 균형 있게 한다.
• 형상과 배치를 함께 최적화하기 위해 공격 손실 L_adv와 지각 손실 L_per(전체 변동성 항 포함)를 결합한다.

실험 결과

연구 질문

• RQ1 직접적인 텍스처 대신 디자인된 모양으로 물리적 세계의 X-ray 금지 아이템 탐지기를 속일 수 있는가?
• RQ2 최악의 가림과 다양한 수하물 구성에서도 효과를 유지하기 위해 이러한 적대 물체를 어떻게 효율적으로 생성하고 배치할 수 있는가?
• RQ3 X-ray 투사 물리학이 모델과 데이터셋 간의 적대 물체 전달성에 미치는 영향은 무엇인가?
• RQ4 X-ray 설정에서 형상과 위치의 공동 최적화가 텍스처 기반의 naive 공격보다 어떤 우위를 가지는가?

주요 결과

• X-Adv는 탐지기 성능을 크게 저하시킨다; OPIXray에서 공격은 맑은 상태의 mAP를 74.02%에서 예시로 주어진 23.05%로 감소시킨다.
• 평가된 모델 전반에 걸쳐 공격은 상당한 mAP 저하를 초래하며, OPIXray에서 평균 약 50%, HiXray에서 약 30%의 감소를 보인다.
• 디지털 및 물리적 실험에서 모두 효과적인 것으로 확인되며, 3D 프린트된 적대적 금속을 이용한 상업용 X-ray 시스템에 대한 실제 물리적 공격도 포함한다.
• 새로운 물리적 세계의 X-ray 적대 공격 데이터세트 XAD를 도입하며, 총 5,587장의 이미지(그 중 840장은 적대적 이미지)로 구성되어 있다.
• 기본적인 텍스처 기반 패치는 이들 X-ray 탐지기에 대해 비효과적이며, X-ray 보안 검사에서의 고유한 취약점을 강조한다.