[논문 리뷰] Making Images Undiscoverable from Co-Saliency Detection.

Ruijun Gao, Qing Guo외 5명|arXiv (Cornell University)|2020. 09. 19.

Adversarial Robustness in Machine Learning인용 수 18

한 줄 요약

이 논문은 공유 명시성 검출(co-saliency detection)을 위한 최초의 블랙박스 적대적 공격인 Jadena를 제안한다. 이는 고수준 특징 수준에서의 대비 민감한 손실 함수를 사용하여 이미지 노출과 국소 노이즈를 동시에 최적화함으로써 명시적 객체를 탐지할 수 없도록 한다. 이는 대상 모델에 대한 접근 없이도 CoSOD 벤치마크 전반에서 성능 저하를 유도하여, 민감하거나 주목받는 콘텐츠가 공유 명시성 방법에 의해 추출되는 것을 효과적으로 방지한다.

ABSTRACT

In recent years, co-saliency object detection (CoSOD) has achieved significant progress and played a key role in the retrieval-related tasks, e.g., image retrieval and video foreground detection. Nevertheless, it also inevitably posts a totally new safety and security problem, i.e., how to prevent high-profile and personal-sensitive contents from being extracted by the powerful CoSOD methods. In this paper, we address this problem from the perspective of adversarial attack and identify a novel task, i.e., adversarial co-saliency attack: given an image selected from an image group containing some common and salient objects, how to generate an adversarial version that can mislead CoSOD methods to predict incorrect co-salient regions. Note that, compared with general adversarial attacks for classification, this new task introduces two extra challenges for existing whitebox adversarial noise attacks: (1) low success rate due to the diverse appearance of images in the image group; (2) low transferability across CoSOD methods due to the considerable difference between CoSOD pipelines. To address these challenges, we propose the very first blackbox joint adversarial exposure & noise attack (Jadena) where we jointly and locally tune the exposure and additive perturbations of the image according to a newly designed high-feature-level contrast-sensitive loss function. Our method, without any information of the state-of-the-art CoSOD methods, leads to significant performance degradation on various co-saliency detection datasets and make the co-salient objects undetectable, which can be strongly practical in nowadays where large-scale personal photos are shared on the internet and should be properly and securely preserved.

연구 동기 및 목표

• 공유 명시성 검출(CoSOD) 방법이 민감하거나 주목받는 콘텐츠를 폭 드러내는 새로운 보안 위험을 해결하기 위해.
• 적대적 편향이 공유 명시성 검출 모델이 잘못된 명시적 영역을 탐지하도록 유도하는 새로운 공격 패러다임인 적대적 공유 명시성 공격을 식별하고 수식화하기 위해.
• 이 새로운 작업에서의 두 가지 핵심 과제인 이미지 다양성으로 인한 낮은 성공률과 다양한 CoSOD 파이프라인 간의 낮은 전이성 해결을 위해.
• 대상 CoSOD 모델에 대한 접근 없이도 작동하는 블랙박스 방법을 개발하여 실세계 상황에서의 실용적 적용 가능성을 확보하기 위해.

제안 방법

• 공유 명시성 검출을 위한 새로운 블랙박스 적대적 공격 프레임워크인 Jadena를 제안한다.
• 적대적 영향을 극대화하기 위해 국소적으로 이미지 노출과 가감성 편향을 동시에 최적화한다.
• 공유 명시 영역 내에서 의미적 및 구조적 차이에 민감도를 높이기 위해 고수준 특징 수준의 대비 민감한 손실 함수를 사용한다.
• 손실 함수는 공유 명시성 검출 맥락에서 원본 이미지와 적대적 이미지의 특징 간 격리 차이를 극대화하도록 설계되어 있다.
• 대상 CoSOD 모델의 아키텍처나 기울기 정보 없이도 작동하는 완전한 블랙박스 설정에서 작동한다.
• 공격은 엔드 투 엔드로 훈련 가능하며 다양한 CoSOD 데이터셋과 파이프라인에서 효과적이다.

실험 결과

연구 질문

• RQ1 대상 모델의 아키텍처나 기울기 정보 없이도 블랙박스 적대적 공격이 공유 명시성 검출을 효과적으로 방해할 수 있는가?
• RQ2 노출과 노이즈를 동시에 최적화하는 적대적 편향은 어떻게 공유 명시성 검출 모델의 실패를 극대화할 수 있는가?
• RQ3 제안된 고수준 특징 수준의 대비 민감한 손실 함수는 표준 손실 함수에 비해 공격 성공률을 얼마나 향상시키는가?
• RQ4 다양한 아키텍처와 훈련 파이프라인을 가진 다양한 CoSOD 방법 간에 제안된 공격의 전이성은 어느 정도인가?
• RQ5 그룹 내 이미지가 외관상으로 크게 다를 경우에도 공유 명시적 객체를 신뢰성 있게 탐지 불가능하게 만들 수 있는가?

주요 결과

• Jadena는 다양한 CoSOD 벤치마크 데이터셋에서 뚜렷한 성능 저하를 이끌어내어 공유 명시적 객체를 탐지 불가능하게 한다.
• 입력 그룹 내 이미지의 외관 다양성에도 불구하고 높은 성공률를 기록한다.
• 다양한 CoSOD 파이프라인 간 강력한 전이성을 보이며, 아키텍처의 차이에 대해 강인함을 입증한다.
• 고수준 특징 수준의 대비 민감한 손실 함수는 효과적인 공격 성능을 위해 필수적이며, 표준 손실 함수를 능가한다.
• 블랙박스 성격 덕분에 모델 정보가 확보되지 않은 실세계 상황에서의 실용적 구현이 가능하다.
• 모델 특화 지식 없이도 다양한 최신 기술의 CoSOD 모델을 성공적으로 회피한다.