[论文解读] Can You Spot the Chameleon? Adversarially Camouflaging Images from Co-Salient Object Detection

Ruijun Gao, Qing Guo+6 more|arXiv (Cornell University)|Sep 19, 2020

Adversarial Robustness in Machine Learning参考文献 54被引用 7

一句话总结

本文提出了首个黑箱对抗性共显著性攻击方法 Jadena，通过联合优化图像曝光与加性噪声，并利用高阶特征层级的对比敏感损失函数，以逃避共显著性检测。该方法在多个 CoSOD 模型和数据集上均实现显著的性能下降，使共显著性对象在不掌握目标模型先验知识的情况下完全无法被检测到。

ABSTRACT

Co-salient object detection (CoSOD) has recently achieved significant progress and played a key role in retrieval-related tasks. However, it inevitably poses an entirely new safety and security issue, i.e., highly personal and sensitive content can potentially be extracting by powerful CoSOD methods. In this paper, we address this problem from the perspective of adversarial attacks and identify a novel task: adversarial co-saliency attack. Specially, given an image selected from a group of images containing some common and salient objects, we aim to generate an adversarial version that can mislead CoSOD methods to predict incorrect co-salient regions. Note that, compared with general white-box adversarial attacks for classification, this new task faces two additional challenges: (1) low success rate due to the diverse appearance of images in the group; (2) low transferability across CoSOD methods due to the considerable difference between CoSOD pipelines. To address these challenges, we propose the very first black-box joint adversarial exposure and noise attack (Jadena), where we jointly and locally tune the exposure and additive perturbations of the image according to a newly designed high-feature-level contrast-sensitive loss function. Our method, without any information on the state-of-the-art CoSOD methods, leads to significant performance degradation on various co-saliency detection datasets and makes the co-salient objects undetectable. This can have strong practical benefits in properly securing the large number of personal photos currently shared on the Internet. Moreover, our method is potential to be utilized as a metric for evaluating the robustness of CoSOD methods.

研究动机与目标

• 为应对强大的共显著性检测（CoSOD）方法可能从群体图像中提取敏感个人内容所引发的新兴安全风险。
• 开发一种新型对抗性攻击框架——对抗性共显著性攻击，误导 CoSOD 模型预测错误的显著区域。
• 克服两大关键挑战：因群体图像中图像多样性导致的成功率低，以及在异构 CoSOD 处理流程间迁移性差的问题。
• 设计一种无需访问目标 CoSOD 模型架构或参数的黑箱方法。
• 为保护在线共享的个人多媒体内容提供一种实用的防御机制。

提出的方法

• 提出 Jadena，一种无需了解目标 CoSOD 模型的黑箱联合对抗性曝光与噪声攻击方法。
• 采用一种新颖的高阶特征层级对比敏感损失函数，指导曝光与加性扰动的联合优化。
• 应用局部、图像特定的扰动，在保持自然外观的同时最大化 CoSOD 模型的误判。
• 采用多阶段优化流程，在多样化图像群体中平衡不可察觉性与攻击有效性。
• 以保持视觉连贯性的方式施加扰动，同时破坏 CoSOD 处理流程中的特征级对应检测。
• 支持三种变体：单图模式、基于群体的模式和增强攻击模式，以适应不同鲁棒性与迁移性需求。

实验结果

研究问题

• RQ1 是否可以有效将对抗性扰动应用于共显著性检测，以在无模型访问的情况下隐藏显著性对象？
• RQ2 如何联合优化曝光与噪声，以在保持视觉不可察觉性的同时最大化 CoSOD 模型的规避效果？
• RQ3 所提方法在不同 CoSOD 架构与数据集之间的迁移程度如何？
• RQ4 尽管群体中图像在外观与内容上存在高度多样性，该攻击是否仍具有效性？
• RQ5 该方法是否适合作为 CoSOD 模型鲁棒性的评估指标？

主要发现

• Jadena 在多个 CoSOD 数据集（包括 Cosal2015 和 CoSOD3k）上实现显著性能下降，使共显著性对象完全无法被检测。
• 在 CoSOD3k 数据集上，基于群体的变体将平均绝对误差（MAE）降低至 0.0771，F-measure 提升至 0.5347，优于所有基线方法。
• Jadena 的基于群体和增强变体在 CoSOD 模型（GICD、GCAGC、PoolNet）间的迁移性高于白箱攻击方法如 FGSM 和 TI-MI-FGSM。
• 该方法保持了较低的感知可察觉性，可视化结果显示其与 TI-MI-FGSM 等方法相比，畸变极小，后者施加了不自然且可见的噪声。
• 消融实验表明，曝光与噪声的联合扰动至关重要，移除任一成分均会显著降低攻击成功率。
• 即使目标模型未知，该攻击仍具有效性，证明了其在多样化 CoSOD 处理流程中具有强大的黑箱迁移能力。