[論文レビュー] Attacking Object Detector Using A Universal Targeted Label-Switch Patch

Avishag Shapira, Ron Bitton+4 more|arXiv (Cornell University)|Nov 16, 2022

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

本論文は、YOLOベースの物体検出器が車をバスや他の車両に誤分類する、ユニバーサルで標的指定型、ラベルスイッチ型の adversarial パッチを提案する。特徴的な投影関数と新規の損失関数を用いることで、デジタルおよび物理的領域において90％を超える成功率を達成し、異なる車両部品、角度、距離に対しても有効である。

ABSTRACT

Adversarial attacks against deep learning-based object detectors (ODs) have been studied extensively in the past few years. These attacks cause the model to make incorrect predictions by placing a patch containing an adversarial pattern on the target object or anywhere within the frame. However, none of prior research proposed a misclassification attack on ODs, in which the patch is applied on the target object. In this study, we propose a novel, universal, targeted, label-switch attack against the state-of-the-art object detector, YOLO. In our attack, we use (i) a tailored projection function to enable the placement of the adversarial patch on multiple target objects in the image (e.g., cars), each of which may be located a different distance away from the camera or have a different view angle relative to the camera, and (ii) a unique loss function capable of changing the label of the attacked objects. The proposed universal patch, which is trained in the digital domain, is transferable to the physical domain. We performed an extensive evaluation using different types of object detectors, different video streams captured by different cameras, and various target classes, and evaluated different configurations of the adversarial patch in the physical domain.

研究の動機と目的

• 実世界の物体検出システムにおいて、車を他の車両タイプ（例：バス）に誤分類する、ユニバーサルで標的指定型、ラベルスイッチ型の攻撃を開発すること。
• デジタルフレームに挿入するのではなく、実際の物体（例：車のボンネット）に適用された場合でも、adversarial パッチが有効であることを保証すること。
• 実世界（物理的）展開において、距離、角度、カメラの視点の変化に関わらず高い成功率を維持するパッチを設計すること。
• 物理的応用に一貫したパフォーマンスを保証するため、一般化を促進するデジタルドメインでのトレーニング手法を構築すること。
• 多様な車両タイプ、色、配置に対し、偽陽性（二重検出）を最小限に抑えて、強力でユニバーサルな誤分類を実現すること。

提案手法

• さまざまな距離、角度、車両形状を考慮し、シーン内の複数の車両に adversarial パッチをリアルistically マッピングするための、特化した投影関数を採用し、物体上への自然な配置を実現する。
• モデルがターゲットクラス（バス）以外のクラスにターゲットオブジェクトを誤分類するのを防ぐために、トレーニングの安定化を図る新規の損失関数を設計し、収束を可能にする。
• 複数の車両が含まれる実世界の交通シーンのデータセットを用いて、デジタルドメインでパッチをトレーニングし、多様な視覚的条件下での一般化を可能にする。
• パッチは、フレーム内でのオブジェクトのスケール、方向、位置の変化に対して頑健であるように最適化され、物理的展開へのトランスファービリティが向上する。
• 異なる物体検出器やビデオストリームに対して効果を保つユニバーサルパッチ定式化を活用する。
• 物理的展開の妥当性を検証するため、パッチを紙に印刷し、実際の照明条件とカメラ環境下でリモコン制御のトイカーに対してテストした。

実験結果

リサーチクエスチョン

• RQ1 デジタルドメインで成功裏にトレーニングされたユニバーサルな adversarial パッチが、物理的領域に効果的にトランスファーブルであり、車をバスに誤分類できるか？
• RQ2 提案された投影関数は、標準的な中央配置方式と比較して、どれほど頑健性と成功率を向上させるか？
• RQ3 新規の損失関数は、ラベルスイッチングプロセス中に発散を防ぎ、トレーニングをどれほど安定化させるか？
• RQ4 物理的領域において、車両の異なる部分（例：ボンネット、トランク、ドア）や形状が変更された状態にパッチを適用した場合、どれほど効果的か？
• RQ5 異なる物体検出器や多様なカメラが撮影したビデオストリーム間で、パッチのトランスファービリティはどの程度か？

主な発見

• 物理的領域において、トイカーの「車」を「バス」に誤分類する成功率が95.9％に達し、二重検出は7.5％にとどまった。
• 実車に適用した場合、バスに対して94.6％、トラックに対して88.9％の成功率を示し、異なるターゲットクラスに対しても高い有効性を維持した。
• トランクに配置した場合の成功率は83％、ドアに配置した場合の成功率は94.2％であり、配置の変動に対しても強い頑健性を示した。
• パッチを細長い長方形に再形状した場合、成功率は72.6％に低下し、形状の一貫性が最適性能を発揮する上で極めて重要であることが示された。
• アブレーションスタディの結果、IoUベースの候補選択を用いることで、成功率が55.3％から94.6％に向上した。これは、トレーニングにおいてその重要性を示している。
• 投影関数は、標準的な中央配置方式を著しく上回り、68.6–70.1％の成功率を達成したのに対し、本手法では95.9％の成功率を記録した。