[論文レビュー] GhostImage: Remote Perception Attacks against Camera-based Image Classification Systems

Yanmao Man, Ming Li+1 more|arXiv (Cornell University)|Jan 21, 2020

Adversarial Robustness in Machine Learning被引用数 13

ひとこと要約

GhostImageは、レンズフレアと露出制御の効果を活用して、カメラベースの画像分類システムに悪意あるパターンをゴースト画像として注入することで、物理的アクセスなしに遠隔で不顕著に操作する攻撃を提案する。低価格のプロジェクタと最適化されたチャネルモデルを用いることで、短距離条件下で交通標識などの物体を生成または改ざんする攻撃成功率が最大100％に達する。

ABSTRACT

In vision-based object classification systems imaging sensors perceive the environment and machine learning is then used to detect and classify objects for decision-making purposes; e.g., to maneuver an automated vehicle around an obstacle or to raise an alarm to indicate the presence of an intruder in surveillance settings. In this work we demonstrate how the perception domain can be remotely and unobtrusively exploited to enable an attacker to create spurious objects or alter an existing object. An automated system relying on a detection/classification framework subject to our attack could be made to undertake actions with catastrophic results due to attacker-induced misperception. We focus on camera-based systems and show that it is possible to remotely project adversarial patterns into camera systems by exploiting two common effects in optical imaging systems, viz., lens flare/ghost effects and auto-exposure control. To improve the robustness of the attack to channel effects, we generate optimal patterns by integrating adversarial machine learning techniques with a trained end-to-end channel model. We experimentally demonstrate our attacks using a low-cost projector, on three different image datasets, in indoor and outdoor environments, and with three different cameras. Experimental results show that, depending on the projector-camera distance, attack success rates can reach as high as 100% and under targeted conditions.

研究の動機と目的

• カメラベースの画像分類システムが物理的アクセスなしに光学的効果を介して遠隔で操作可能であることを実証すること。
• レンズフレアと露出制御を攻撃ベクトルとして活用し、カメラ入力に悪意あるパターンを注入すること。
• チャネル歪みとプロジェクタ-カメラの幾何配置を考慮した耐障害性の高い攻撃フレームワークを開発すること。
• 光の投影のみを用いて、物体（例：STOP標識をYIELD標識に変更）を生成または改ざんする高成功率を達成すること。
• 実世界のハードウェアを用いて、多様な環境とカメラシステムで攻撃を検証すること。

提案手法

• 不完全なレンズによる光の屈折と反射によって生じるレンズフレア効果を活用し、悪意あるパターンをカメラ画像にゴーストアーティファクトとして投影する。
• 露出制御を活用して、背景を暗くし、投影されたパターンを明るくすることでゴーストの可視性を向上させる。
• 物理的設定に基づいてゴーストの解像度、色、位置を予測できる経験的プロジェクタ-カメラチャネルモデルを構築する。
• 悪意ある機械学習とチャネルモデルを統合し、解像度制約下でも分類器が認識できるよう攻撃パターンを最適化する。
• 低価格のプロジェクタを用いて、カメラを盲目にしたり物理的アクセスを必要とせずに遠隔でパターンを注入する。
• 3台のカメラ、3つのデータセット、屋内・屋外環境を用いた実世界の設定で攻撃を検証する。

実験結果

リサーチクエスチョン

• RQ1 直接的なセンサーサイズの変更や物理的改造なしに、光の投影のみで悪意あるパターンをカメラ入力に注入可能か？
• RQ2 レンズフレアと露出制御の効果が、画像分類システムの遠隔操作をどのように可能にするか？
• RQ3 プロジェクタ-カメラ距離が、注入されたゴーストパターンの解像度と検出可能性にどの程度影響を及えるか？
• RQ4 長距離による解像度の低下という制約下でも、悪意あるパターンの最適化が攻撃成功率を向上させ得るか？
• RQ5 多様な実世界環境とカメラモデルにおいて、攻撃の有効性はどの程度か？

主な発見

• 短距離のプロジェクタ-カメラ距離条件下で、攻撃は100％の成功率を達成し、分類結果に対する完全な制御を示した。
• 距離が増加するに従い、ゴーストの解像度が低下することで攻撃成功率が急激に低下し、接近の重要性が浮き彫りになった。
• ビームスプリッタ法は4×4解像度下でも全体で55％の攻撃成功率を達成し、制限付きの光学的条件下での実現可能性を裏付けた。
• 訓練済みのチャネルモデルと悪意ある機械学習を統合することで、注入されたパターンの耐障害性と認識精度が顕著に向上した。
• 実際にSTOP標識をゴースト画像として注入し、YOLOv3が正しく検出・分類したことで、遠隔での認識スプーフィングの実現可能性が確認された。
• 理論的分析により、追加レンズを用いて物体画像に直接ノイズを重ねる方法は、元の物体を隠してしまうため不可能であることが証明され、ゴースティングのような間接的注入手法の必要性が強化された。