[논문 리뷰] Towards Understanding the Adversarial Vulnerability of Skeleton-based Action Recognition

Tianhang Zheng, Liu Sheng외 4명|arXiv (Cornell University)|2020. 05. 14.

Adversarial Robustness in Machine Learning참고 문헌 48인용 수 14

한 줄 요약

이 논문은 ADMM를 사용한 제약 최적화 프레임워크를 제안하여 행동 인식 모델에 대해 눈에 띄지 않으며 생리적으로 타당한 적대적 스켈레톤 동작을 생성하고, 가우시안 노이즈와 필터링을 통한 인증된 방어를 도입한다. 제약 위반을 최소화하면서도 공격 성공률이 매우 높아(최대 100%) 스켈레톤 기반 시스템의 심각한 적대적 취약성을 입증한다.

ABSTRACT

Skeleton-based action recognition has attracted increasing attention due to its strong adaptability to dynamic circumstances and potential for broad applications such as autonomous and anonymous surveillance. With the help of deep learning techniques, it has also witnessed substantial progress and currently achieved around 90\% accuracy in benign environment. On the other hand, research on the vulnerability of skeleton-based action recognition under different adversarial settings remains scant, which may raise security concerns about deploying such techniques into real-world systems. However, filling this research gap is challenging due to the unique physical constraints of skeletons and human actions. In this paper, we attempt to conduct a thorough study towards understanding the adversarial vulnerability of skeleton-based action recognition. We first formulate generation of adversarial skeleton actions as a constrained optimization problem by representing or approximating the physiological and physical constraints with mathematical formulations. Since the primal optimization problem with equality constraints is intractable, we propose to solve it by optimizing its unconstrained dual problem using ADMM. We then specify an efficient plug-in defense, inspired by recent theories and empirical observations, against the adversarial skeleton actions. Extensive evaluations demonstrate the effectiveness of the attack and defense method under different settings.

연구 동기 및 목표

• 변형이 눈에 띄지 않고 신체적으로 타당해야 하는 실제 시나리오에서 스켈레톤 기반 행동 인식 모델의 적대적 취약성을 이해하기 위해.
• 고정된 뼈 길이, 작은 관절 각도 변화, 제한된 운동 속도 등의 엄격한 시공간 제약 조건 하에서 적대적 스켈레톤 동작을 생성하는 데 도전하기 위해.
• 높은 성공률을 유지하면서도 인간 해부학적 및 물리적 제약을 준수하는 효율적인 공격 방법을 개발하기 위해.
• 가우시안 노이즈와 필터링을 사용한 인증된 방어 메커니즘을 제안하여 적대적 스켈레톤 동작에 대한 강건성을 향상시키기 위해.

제안 방법

• 뼈 길이, 관절 각도, 운동 속도에 대한 수학적 제약 조건을 포함한 제약 최적화 문제로 적대적 스켈레톤 동작 생성을 수식화하기 위해.
• 교차 방향 승수법(ADMM)을 사용하여 해석이 불가능한 원래 문제를 제약 조건이 없는 이중 문제로 변환하기 위해.
• ADMM를 통해 이중 문제를 최적화하고, 내부 최소화에는 Adam을, 외부 최대화에는 한 단계의 기울기 상승을 사용하기 위해.
• 인퍼런스 중에 가우시안 노이즈를 적용하고 동작 시퀀스에 가우시안 필터링을 적용하는 플러그인 방어를 설계하기 위해, 인증된 방어 이론에 영감을 받음.
• 훈련과 인증에 동일한 노이즈 수준을 사용하여 ℓ₂ 변형에 대한 인증된 강건성을 달성하기 위해.
• 원래 문제와 이중 문제 간의 이중성 관계를 활용하여 제약 조건을 충족시키면서도 효율적인 최적화를 가능하게 하기 위해.

실험 결과

연구 질문

• RQ1 눈에 띄지 않음과 재현 가능성을 확보하기 위해 적대적 스켈레톤 동작에서 유지되어야 할 핵심적인 신체적 및 해부학적 제약 조건는 무엇인가?
• RQ2 기존 공격 방법을 직접 적용할 수 없는 복잡하고 비직관적인 제약 조건 하에서 적대적 스켈레톤 동작을 어떻게 생성할 수 있는가?
• RQ3 제약 위반이 적대적 동작의 현실성과 탐지 가능성에 어떤 영향을 미치는가?
• RQ4 스켈레톤 기반 행동 인식에 대해 인증된 방어를 효과적으로 적용할 수 있으며, 어떤 정도의 강건성을 달성할 수 있는가?
• RQ5 타겟 설정과 비타겟 설정 모두에서 다양한 데이터셋과 모델 아키텍처에서 공격 성능는 어떻게 변화하는가?

주요 결과

• 비타겟 설정에서 Kinetics-400 데이터셋에서 제안된 공격는 제약 위반을 최소화(ΔB/B < 2.7%, ΔK/K < 0.17)하면서도 100%의 공격 성공률를 기록하였다.
• 타겟 설정에서는 높은 성공률(90.2% on HCN, 99.2% on 2s-AGCN)을 유지하였으며, 작은 변형(ℓ₂ ≈ 0.1–1.0)과 낮은 관절 각도 변화(ΔJ/J < 0.22)를 기록하였다.
• 방어 방법은 ℓ₂ = 0.5에서 약 50%의 인증된 정확도를 달성하였고, 정상 정확도가 10–20% 감소하는 것으로 나타나 효과적인 강건성 인증을 보였다.
• 공격는 HCN과 2s-AGCN와 같은 최첨단 모델을 성공적으로 속여 폭력적인 동작(예: 발차기, 펀치)을 '물 마시기'와 같은 정상적인 동작으로 잘못 분류하게 하였다.
• Kinetics-400의 400개의 행동 클래스가 존재하더라도 공격는 효과적으로 유지되어, 다양한 행동 공간으로의 일반화 능력이 뛰어나다는 것을 보여주었다.
• 시각화 및 정량적 결과는 변형이 눈에 띄지 않으며 재현 가능함을 확인하여 적대적 예제의 현실성을 검증하였다.