[论文解读] Universal Perturbation Attack Against Image Retrieval

Jie Li, Rongrong Ji+4 more|arXiv (Cornell University)|Dec 3, 2018

Adversarial Robustness in Machine Learning参考文献 42被引用 13

一句话总结

本文提出了首个针对图像检索系统的通用对抗扰动（UAP）攻击，通过破坏特征空间中的邻域关系来降低检索性能。该方法结合多尺度随机缩放与排序蒸馏技术，在多个数据集上实现了显著的mAP和mP@10下降，并成功欺骗了Google Images等真实世界系统。

ABSTRACT

Universal adversarial perturbations (UAPs), a.k.a. input-agnostic perturbations, has been proved to exist and be able to fool cutting-edge deep learning models on most of the data samples. Existing UAP methods mainly focus on attacking image classification models. Nevertheless, little attention has been paid to attacking image retrieval systems. In this paper, we make the first attempt in attacking image retrieval systems. Concretely, image retrieval attack is to make the retrieval system return irrelevant images to the query at the top ranking list. It plays an important role to corrupt the neighbourhood relationships among features in image retrieval attack. To this end, we propose a novel method to generate retrieval-against UAP to break the neighbourhood relationships of image features via degrading the corresponding ranking metric. To expand the attack method to scenarios with varying input sizes or untouchable network parameters, a multi-scale random resizing scheme and a ranking distillation strategy are proposed. We evaluate the proposed method on four widely-used image retrieval datasets, and report a significant performance drop in terms of different metrics, such as mAP and mP@10. Finally, we test our attack methods on the real-world visual search engine, i.e., Google Images, which demonstrates the practical potentials of our methods.

研究动机与目标

• 为解决图像检索系统缺乏通用对抗攻击的问题，这些系统在数据格式、目标、输入尺寸可变性以及模型输出结构方面与图像分类存在本质差异。
• 开发一种UAP，通过破坏深度特征空间中的点对点、成对及列表级邻域关系，降低检索排序质量。
• 确保对输入尺寸变化的鲁棒性，以及在模型参数不可访问的黑盒场景下的有效性。
• 在Google Images等真实世界系统上评估该攻击，以证明其实际可行性和影响。

提出的方法

• 提出一种通用扰动生成框架，通过基于元组的最近邻与最远邻组构造，操纵特征空间中的相似性结构，破坏邻域关系。
• 引入多尺度随机缩放策略，提升对真实世界检索系统中常见输入尺寸变化的可迁移性与鲁棒性。
• 采用粗到细的排序蒸馏策略，实现在网络参数不可访问时的黑盒攻击，利用替代模型指导扰动优化。
• 仅对扰动进行基于梯度的优化，同时在前向传播过程中动态调整输入图像尺寸，以模拟真实世界中的尺寸可变性。
• 设计一种损失函数，最小化正样本在特征空间中的相似性，同时最大化负样本之间的相似性，从而有效降低检索性能。
• 将扰动应用于干净图像，并通过测量特征偏移来评估mAP和mP@10等检索指标的退化程度。

实验结果

研究问题

• RQ1 通用对抗扰动能否有效应用于依赖排序与相似性关系而非分类标签的图像检索系统？
• RQ2 如何使通用扰动对真实世界图像检索系统中常见的输入尺寸变化具有鲁棒性？
• RQ3 在模型参数不可用的情况下，应采用何种策略实现对图像检索模型的有效黑盒攻击？
• RQ4 此类扰动在Oxford5k和Paris6K等标准基准上的检索性能退化程度如何？
• RQ5 所提出的攻击能否成功欺骗真实世界的视觉搜索引擎，如Google Images？

主要发现

• 所提方法在多个模型与数据集上均实现mAP与mP@10的显著下降，包括在Paris6K数据集上A-GeM模型的51.41% mAP与V-GeM模型的55.02% mAP。
• 多尺度随机缩放策略相比固定尺寸缩放提升了攻击成功率，最优性能出现在尺度范围平衡时。
• 在Google Images上，攻击导致62.85%的检索结果缺失，表明62.85%的干净查询返回的前100张图像在受扰查询结果中缺失。
• 在不同模型（如MAC与GeM池化）上训练的扰动具有不同的视觉外观，但同类型模型的扰动表现出视觉相似性，表明其在模型间具有可迁移性。
• 该攻击对所有三类关系（点对点、成对、列表级）均有效，证明邻域结构破坏是一种可行的攻击向量。
• 排序蒸馏策略实现了有效的黑盒攻击，表明即使无法访问目标模型参数，替代模型也能有效指导扰动生成。