[논문 리뷰] Adversarial Patches Exploiting Contextual Reasoning in Object Detection

Aniruddha Saha, Akshayvarun Subramanya외 1명|arXiv (Cornell University)|2019. 12. 21.

Adversarial Robustness in Machine Learning참고 문헌 21인용 수 9

한 줄 요약

이 논문은 목표 객체와 겹치지 않도록 특정 카테고리(예: 보행자)에 대해 YOLO 객체 검출기의 시각을 마비시키는 컨텍스트 기반 적대적 패치 공격을 제안한다. 이는 검출기가 공간적 컨텍스트에 의존하는 데 기인한다. 또한, 객체 바운딩 박스 외부의 컨텍스트 영향을 제한하는 훈련 정규화 방법인 Grad-Defense를 도입하여, 검출 정확도를 유지하면서도 이러한 공격에 대한 강건성을 크게 향상시킨다.

ABSTRACT

The utilization of spatial context to improve accuracy in most fast object detection algorithms is well known. The detectors increase inference speed by doing a single forward pass per image which means they implicitly use contextual reasoning for their predictions. We show that an adversary can exploit such contextual reasoning to fool standard detectors. We develop adversarial patches that make an object detector blind to a particular category even though the patch does not overlap with the missed detections. We also study methods to fix this vulnerability and show that limiting the use of contextual reasoning during object detector training acts as a form of defense that makes the detector robust. We believe defending against context based adversarial attack algorithms is not easy. We take a step towards that direction and urge the research community to give attention to this vulnerability.

연구 동기 및 목표

• 빠른 객체 검출기인 YOLO가 공간적 컨텍스트에 의존함으로써, 목표 객체와 겹치지 않는 적대적 패치에 취약해지는 방식을 조사하는 것.
• 목표 객체 카테고리에 특화된 적대적 패치를 설계하여, 특정 객체 카테고리에 대해 검출을 마비시키되, 다른 카테고리의 검출은 유지하는 것.
• 훈련 중 공간적 컨텍스트에 대한 의존도를 줄이는 방식으로, 이러한 컨텍스트 기반 공격에 대한 강건성을 향상시키기 위한 방어 기법을 개발하는 것.
• 해석 가능성 방법(예: Grad-CAM)이 객체 검출에서 컨텍스트 영향을 국소화하는 데 얼마나 효과적인지 평가하고, 더 나은 공간 국소화를 위한 수정된 버전인 DetGrad-CAM을 제안하는 것.

제안 방법

• 목표 객체와 겹치지 않도록 이미지 모서리에 카테고리에 특화된 적대적 패치를 부착하는 것.
• 검출된 객체 바운딩 박스 외부의 특징 활성화를 페널티 처리하는 새로운 정규화 항을 도입하여 YOLOv2를 훈련함으로써, 컨텍스트 영향을 제한하는 것.
• 공간적 컨텍스트가 객체 영역 외부에서 기여하는 정도를 줄이기 위해 모델을 정규화하는 훈련 전략인 Grad-Defense를 도입하는 것.
• 기존 Grad-CAM을 수정하여, 기존의 합산 대신 기울기와 활성화의 원소별 곱셈을 사용하는 DetGrad-CAM을 개발함으로써 공간 정보를 유지하는 것.
• Grad-Defense 훈련 전후의 컨텍스트 사용을 DetGrad-CAM을 활용해 시각화하고 비교하는 것.
• PASCAL VOC 및 COCO 데이터셋에서 다양한 패치 배치와 목표 카테고리 조건 하에서 공격 성공률 및 검출 AP(Average Precision)를 평가하는 것.

실험 결과

연구 질문

• RQ1 목표 객체와 겹치지 않도록 이미지에 부착된 적대적 패치로 특정 카테고리에 대해 객체 검출기를 마비시킬 수 있는가?
• RQ2 검출기가 공간적 컨텍스트에 의존함으로써 이러한 공격가능성이 발생하는 이유는 무엇이며, 이를 정량화할 수 있는가?
• RQ3 훈련 중 컨텍스트 영향을 제한함으로써, 카테고리별 적대적 패치에 대한 강건성이 향상되는가?
• RQ4 표준 해석 가능성 방법(예: Grad-CAM)은 객체 검출에서 컨텍스트 기여도를 국소화하는 데 적합한가? 그리고 이를 어떻게 개선할 수 있는가?
• RQ5 훈련 중 컨텍스트 사용을 제한하는 방어 기법이 컨텍스트 기반 적대적 패치 공격을 효과적으로 완화할 수 있는가?

주요 결과

• 목표 객체와 겹치지 않도록 모서리에 부착된 적대적 패치는 YOLOv2의 타겟 카테고리에 대한 평균 정밀도(AP)를 자동차의 경우 59.0%에서 31.8%로, 보행자의 경우 51.7%에서 34.2%로 감소시킨다.
• 제안된 Grad-Defense 방어 기법은 표준 YOLOv2 대비 공격 시 타겟 카테고리의 AP 감소를 크게 줄여 강건성을 크게 향상시킨다.
• 수정된 Grad-CAM 기반 방법인 DetGrad-CAM은 기존 Grad-CAM보다 더 정확한 공간 국소화를 제공하며, 다수의 인스턴스 간의 공간 구분을 흐리게 하는 경향이 있는 기존 방법에 비해 우수하다.
• DetGrad-CAM을 통한 시각화 결과, Grad-Defense 훈련으로 인해 모델이 객체 바운딩 박스 외부의 공간적 컨텍스트에 대한 의존도가 감소한 것으로 확인되었다.
• 패치가 다양한 이미지 간에 유니버설하게 적용되어도 공격의 효과성이 유지되어, 자율주행 차량과 같은 실세계 환경에서의 실현 가능성을 입증하였다.
• 표준 노름 제약이 있는 적대적 예측에 대한 방어 방법들은 이러한 패치에는 효과가 없으며, 그 이유는 크고 국소화된 변형이기 때문이다.