[论文解读] Adversarial YOLO: Defense Human Detection Patch Attacks via Detecting Adversarial Patches

Nan Ji, YanFei Feng+3 more|arXiv (Cornell University)|Mar 16, 2021

Adversarial Robustness in Machine Learning参考文献 16被引用 26

一句话总结

Ad-YOLO 将 YOLOv2 扩展为一个补丁类别，以检测对抗性补丁，实现对人和补丁的同时检测，并展示出对白盒和物理世界补丁攻击的强鲁棒性，同时对标准检测的成本很小。

ABSTRACT

The security of object detection systems has attracted increasing attention, especially when facing adversarial patch attacks. Since patch attacks change the pixels in a restricted area on objects, they are easy to implement in the physical world, especially for attacking human detection systems. The existing defenses against patch attacks are mostly applied for image classification problems and have difficulty resisting human detection attacks. Towards this critical issue, we propose an efficient and effective plug-in defense component on the YOLO detection system, which we name Ad-YOLO. The main idea is to add a patch class on the YOLO architecture, which has a negligible inference increment. Thus, Ad-YOLO is expected to directly detect both the objects of interest and adversarial patches. To the best of our knowledge, our approach is the first defense strategy against human detection attacks. We investigate Ad-YOLO's performance on the YOLOv2 baseline. To improve the ability of Ad-YOLO to detect variety patches, we first use an adversarial training process to develop a patch dataset based on the Inria dataset, which we name Inria-Patch. Then, we train Ad-YOLO by a combination of Pascal VOC, Inria, and Inria-Patch datasets. With a slight drop of $0.70\%$ mAP on VOC 2007 test set, Ad-YOLO achieves $80.31\%$ AP of persons, which highly outperforms $33.93\%$ AP for YOLOv2 when facing white-box patch attacks. Furthermore, compared with YOLOv2, the results facing a physical-world attack are also included to demonstrate Ad-YOLO's excellent generalization ability.

研究动机与目标

• 解决现实世界中人类检测系统对对抗性补丁攻击的脆弱性。
• 开发一个即插即用的防御（Ad-YOLO），在几乎不增加推理开销的情况下同时检测人员与对抗性补丁。
• 通过对抗训练创建并利用多样化的对抗性补丁数据集(Inria-Patch)。
• 评估 Ad-YOLO 的可检测性、对白盒和物理世界攻击的鲁棒性，以及跨场景和跨个体的泛化能力。

提出的方法

• 在 YOLOv2 的最后一层添加一个新的补丁类别，创建 Ad-YOLO，它输出一个针对补丁的额外类别，而不改变其余架构。
• 通过在 Inria 上进行对抗训练来构建 Inria-Patch，产生高攻击效果和多样性的补丁。
• 在 Pascal VOC、Inria 和 Inria-Patch 数据集混合上训练 Ad-YOLO，以促进同时检测人员与补丁。
• 将 Ad-YOLO 的训练目标表述为在带补丁的输入上最小化期望损失，结合 A(delta, x, t) 来应用补丁，ŷ 作为带有额外补丁标签的 ground truth。
• 通过保持核心 YOLOv2 结构并添加一个补丁类别，同时保持时效性和低计算成本。

实验结果

研究问题

• RQ1 是否可以在目标检测器中增加一个补丁检测类别，以在数字世界和物理世界中防御对抗性补丁？
• RQ2 在增加补丁检测能力的同时，Ad-YOLO 是否能保持原有的检测性能（可检测性）？
• RQ3 在白盒补丁攻击下，Ad-YOLO 相对于标准 YOLOv2 的性能如何，以及是否对未见过的补丁和场景具有泛化性？
• RQ4 对鲁棒性和跨数据集/场景的泛化能力，基于对抗性补丁训练(Inria-Patch) 的影响是？

主要发现

• Ad-YOLO 在 VOC 2007 上保持与 YOLOv2 相近的检测性能，mAP 仅下降 0.70 个百分点（从 73.07% 降至 72.35%）。
• Ad-YOLO 在 Inria 上保持人员检测准确性，AP 从 88.13% 降至 86.91% 的微小下降。
• Ad-YOLO 在 Inria-Patch 对抗性补丁数据集上达到 83.91% 的 AP，表明补丁检测有效。
• 在白盒补丁攻击下，Ad-YOLO 将人员 AP 从 33.93%（YOLOv2）提升至 80.31%（Ad-YOLO），鲁棒性显著提升。
• Ad-YOLO 对未见补丁和场景具有泛化能力（情况 I0-P0、I1-P0、I0-P1、I1-P1），人员 AP 在测试配置中介于 77.82% 至 78.70% 之间。
• 与对抗性训练基线相比，Ad-YOLO 带来约 46% 的鲁棒性提升，仅在干净 AP 上再降约 1.4%，并且所需的训练成本与标准训练相近。