[論文レビュー] Physical Adversarial Examples for Object Detectors

Kevin Eykholt, Ivan Evtimov+7 more|arXiv (Cornell University)|Jul 20, 2018

Adversarial Robustness in Machine Learning参考文献 19被引用数 104

ひとこと要約

本論文は、ポスターやステッカーで停止標識を物理的に摺り替え、屋内外の環境で物体検出器（YOLOv2および Faster R-CNN）を欺くことを示し、消失攻撃の高い成功率と部分的な転移性を示しています。

ABSTRACT

Deep neural networks (DNNs) are vulnerable to adversarial examples-maliciously crafted inputs that cause DNNs to make incorrect predictions. Recent work has shown that these attacks generalize to the physical domain, to create perturbations on physical objects that fool image classifiers under a variety of real-world conditions. Such attacks pose a risk to deep learning models used in safety-critical cyber-physical systems. In this work, we extend physical attacks to more challenging object detection models, a broader class of deep learning algorithms widely used to detect and label multiple objects within a scene. Improving upon a previous physical attack on image classifiers, we create perturbed physical objects that are either ignored or mislabeled by object detection models. We implement a Disappearance Attack, in which we cause a Stop sign to "disappear" according to the detector-either by covering thesign with an adversarial Stop sign poster, or by adding adversarial stickers onto the sign. In a video recorded in a controlled lab environment, the state-of-the-art YOLOv2 detector failed to recognize these adversarial Stop signs in over 85% of the video frames. In an outdoor experiment, YOLO was fooled by the poster and sticker attacks in 72.5% and 63.5% of the video frames respectively. We also use Faster R-CNN, a different object detection model, to demonstrate the transferability of our adversarial perturbations. The created poster perturbation is able to fool Faster R-CNN in 85.9% of the video frames in a controlled lab environment, and 40.2% of the video frames in an outdoor environment. Finally, we present preliminary results with a new Creation Attack, where in innocuous physical stickers fool a model into detecting nonexistent objects.

研究の動機と目的

• 物体検出器を画像分類器を超えて欺ける物理的摂動を検証する。
• RP2を拡張し、検出器へのロバストで位置・姿勢変化に対する攻撃を可能にする。
• 検出出力を標的とした消失攻撃と作成攻撃を開発する。
• 多様な環境での検出器間の転移性を評価する。

提案手法

• 新しい検出器向けの損失を組み込んだRP2アルゴリズムを拡張する。
• 物理的シーンのバリエーションを模擬するために合成回転・位置をモデル化する。
• より滑らかな摺動を実現するためにL2/NPS平滑化を全体変動ノルムに置換する。
• Disappearance Attack損失を定義し、すべてのセル/ボックスにおける停止標識検出確率を最小化する。
• Creation Attack損失を定義し、敵対的ステッカーを用いて不存在の物体の検出を作り出す。
• YOLO v2（ホワイトボックス）での攻撃と、Faster R-CNN（ブラックボックス）への転移性を評価する。

実験結果

リサーチクエスチョン

• RQ1 現実世界の条件で物理的摂動が最先端の物体検出器を欺くことができるか。
• RQ2 ポスターおよびステッカー摂動が検出器に対して位置する物体を見逃させる／誤ラベル付けさせる（消失/作成）を引き起こすか。
• RQ3 YOLOv2からFaster R-CNNへのような検出器アーキテクチャ間で物理攻撃の転移性はあるか。
• RQ4 室内と屋外の環境に対してこのような攻撃はどれくらい頑健か。

主な発見

• 消失攻撃は室内フレームの85.6%および屋内室外の85.0%を占めるが、ポスターでは屋外が72.5%、室内が85.0%、屋外が63.5%を占めた。
• Faster R-CNNはポスター攻撃で室内85.9%、屋外40.2%を欺いた。ステッカー攻撃は室内58.9%、屋外18.9%を欺いた。
• Creation攻撃はYOLOv2で初期的な成功を示し、Stop signとしての敵対的ステッカーの検出を示し、転移可能性の可能性を示した。
• 攻撃は室内の制御された環境でより信頼性が高く、屋外条件では有効性は低下するが、有意な撹乱をもたらす。
• 位置・回転不変性の拡張は viewpoint 変化に対する頑健性を向上させる。