[논문 리뷰] Sparse Adversarial Attack to Object Detection

Jiayu Bao|arXiv (Cornell University)|2020. 12. 26.

Adversarial Robustness in Machine Learning참고 문헌 10인용 수 15

한 줄 요약

이 논문은 객체 검출기의 픽셀 효율적인 오용 공격을 위한 희박한 적대적 공격(Sparse Adversarial Attack, SAA)을 제안한다. 이는 객체의 중심성에 초점을 맞춘 희박하고 전략적으로 배치된 크로스 모양의 $l_0$-노름 제한된 교란을 사용하여 일단 단계(YOLOv4) 및 이중 단계(FasterRCNN) 검출기 모두를 속이는 데에 성공한다. 중심성에 초점을 맞추고, 검출기별 손실 함수를 설계함으로써 SAA는 높은 오용 점수(1610.03, YOLOv4 기준)와 강력한 전이성(전이 강화 기법 없이도 두 개의 알려지지 않은 블랙박스 검출기에서 355.69 점)을 달성한다.

ABSTRACT

Adversarial examples have gained tons of attention in recent years. Many adversarial attacks have been proposed to attack image classifiers, but few work shift attention to object detectors. In this paper, we propose Sparse Adversarial Attack (SAA) which enables adversaries to perform effective evasion attack on detectors with bounded \emph{l$_{0}$} norm perturbation. We select the fragile position of the image and designed evasion loss function for the task. Experiment results on YOLOv4 and FasterRCNN reveal the effectiveness of our method. In addition, our SAA shows great transferability across different detectors in the black-box attack setting. Codes are available at \emph{https://github.com/THUrssq/Tianchi04}.

연구 동기 및 목표

• 엄격한 $l_0$-노름 제약 조건 하에서 객체 검출기를 대상으로 하는 효과적인 적대적 공격의 부족을 해결하기 위해.
• 최소한의 교란으로 최대한의 오용 성공을 이룰 수 있도록 공간적으로 최적화된 희박한 적대적 패치를 설계하기 위해.
• 전경/배경 분류를 조작하여 객체 검출을 효과적으로 억제하는 검출기별 맞춤형 손실 함수를 개발하기 위해.
• 추가 강화 기법 없이도 블랙박스 공격 환경에서 높은 전이성을 달성하기 위해.
• 기존의 밀도 높은 패치보다 크로스 모양 패치가 $l_0$-제약 조건 하에서 공격 효율성 면에서 뛰어나다는 것을 입증하기 위해.

제안 방법

• 이 방법은 이미지 픽셀의 2% 이내로 제한된 $l_0$-노름 제약 조건을 가진 교란을 이진 마스크를 통해 적용하여 적대적 패치의 공간 범위를 제한한다.
• 객체의 중심에 일치하는 교차 모양의 패치를 설계하여 검출 파이프라인에서 중심성의 취약점을 악용한다.
• YOLOv4 및 FasterRCNN에 맞게 조정된 분류 및 회귀 손실을 조합한 미분 가능 손실 함수를 사용하여 적대적 패치를 최적화한다.
• 정규화 및 리사이징 등의 전체 전처리 파이프라인을 순전파 및 역전파 과정에 통합하여 실제 왜곡에 대한 강건성을 확보한다.
• 다중 해상도 및 이산적인 업데이트 단계(정수 배수의 $1/255$)를 사용하여 학습을 가속화하고 국소 최적값을 피한다.
• FasterRCNN에 대해 이중 단계 공격 전략을 적용한다: 첫 번째 단계에서 가장 신뢰도가 높은 박스를 억제하고, 첫 번째 단계가 실패할 경우 두 번째 단계에서 모든 박스를 대상으로 한다.

실험 결과

연구 질문

• RQ1 희박하고 $l_0$-노름 제약 조건이 있는 적대적 패치가 일단 단계 및 이중 단계 객체 검출기 모두에서 효과적으로 탐지 회피를 이룰 수 있는가?
• RQ2 $l_0$ 제약 조건 하에서 크로스 모양 패치가 기존의 밀도 높은 패치보다 공격 효율성이 뛰어나지 않는가?
• RQ3 모델별 특화된 하이퍼파rameter 조정 없이도 검출기별 맞춤형 손실 함수가 공격 성공률을 향상시킬 수 있는가?
• RQ4 목표 검출기가 알려지지 않은 블랙박스 환경에서 공격이 얼마나 효과적인가?
• RQ5 전이성 강화 기법 없이도 공격이 다양한 검출기 간에 일반화 가능한가?

주요 결과

• SAA는 YOLOv4에서 1610.03의 오용 점수를 기록하여 최소한의 픽셀 교란으로도 화이트박스 환경에서 뛰어난 성능을 보였다.
• FasterRCNN(ResNet-50 + FPN)에서는 오용 점수가 1174.21에 도달하여 이중 단계 검출기에서도 효과적임을 입증했다.
• 블랙박스 환경에서 SAA는 두 개의 알려지지 않은 검출기에서 355.69의 오용 점수를 기록하여 추가 강화 없이도 강력한 전이성을 보였다.
• 크로스 모양 패치의 사용은 $l_0$ 제약 조건 하에서 사각형 또는 원형 패치보다 공격 효율성이 뚜렷이 향상됨을 보였다.
• AIC Phase IVCIKM-2020 적대적 탐지 경쟁에서 다른 접근 방식보다 뛰어난 성능을 보이며 4위를 차지했다.
• 실험을 통해 더 얇은 크로스 모양 패치가 더 넓은 특징 공간 간섭을 유도하여 공격 효과가 더 강하다는 것이 확인되었다.