[論文レビュー] Visual Adversarial Attacks and Defenses in the Physical World: A Survey

Xingxing Wei, Bangzheng Pu+3 more|arXiv (Cornell University)|Nov 3, 2022

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

本サーベイは、コンピュータビジョンにおける物理的敵対的攻撃と防御について包括的な概要を提供し、攻撃をタスク、形態、手法の観点から分類し、防御を事前処理、処理中処理、事後処理の観点から分類している。転送性、環境的変動に対する耐性、不顕在性、および普遍的で効率的かつトレードオフのない防御の必要性といった主な課題を特定し、現実世界のビジョンシステムにおけるAIセーフティ分野の今後の研究の構造的基盤を提供する。

ABSTRACT

Although Deep Neural Networks (DNNs) have been widely applied in various real-world scenarios, they remain vulnerable to adversarial examples. Adversarial attacks in computer vision can be categorized into digital attacks and physical attacks based on their different forms. Compared to digital attacks, which generate perturbations in digital pixels, physical attacks are more practical in real-world settings. Due to the serious security risks posed by physically adversarial examples, many studies have been conducted to evaluate the physically adversarial robustness of DNNs in recent years. In this paper, we provide a comprehensive survey of current physically adversarial attacks and defenses in computer vision. We establish a taxonomy by organizing physical attacks according to attack tasks, attack forms, and attack methods. This approach offers readers a systematic understanding of the topic from multiple perspectives. For physical defenses, we categorize them into pre-processing, in-processing, and post-processing for DNN models to ensure comprehensive coverage of adversarial defenses. Based on this survey, we discuss the challenges facing this research field and provide an outlook on future directions.

研究の動機と目的

• 攻撃タスク、形態、手法の観点から、現在のコンピュータビジョンにおける物理的敵対的攻撃を体系的に分類・分析すること。
• 事前処理、処理中処理、事後処理技術を含む、物理的敵対的防御の包括的な分類体系を提供すること。
• 転送性、環境的耐性、不顕在性といった、物理的敵対的耐性における重要な未解決課題を特定すること。
• 普遍的で効率的かつトレードオフのない防御を設計するための今後の研究方向性を提示すること。
• 自律走行や監視などの現実世界の応用分野におけるより安全なディープラーニングシステムの開発を支援すること。

提案手法

• 攻撃タスク（例：オブジェクト検出、顔認識）、攻撃形態（例：パッチベース、ユニバーサル）、攻撃手法（例：最適化ベース、勾配ベース）の3軸に沿って物理的攻撃を分類する。
• 事前処理（例：画像変換）、処理中処理（例：敵対的訓練）、事後処理（例：再検証、ドリフト拡散モデル）の3つのカテゴリに分類して物理的防御を分類する。
• カメラ歪み、視点変化、照明変化、センサ処理に対する耐性に基づいて防御の評価フレームワークを提案する。
• 事後処理防御においてドメイン知識と論理的推論を統合し、分類の一貫性を向上させ、非論理的予測を防止する。
• ドロップアウトを組み合わせたドリフト拡散モデル（DDM）を適応させ、閾値ベースの証拠蓄積による耐性のある推論を可能にする。
• 孤立バンド自己注意を用いたViTベースの防御手法を含む最先端の手法をレビューする。

実験結果

リサーチクエスチョン

• RQ1 物理的敵対的攻撃は、タスク、形態、手法の観点からどのように体系的に分類できるか？
• RQ2 物理的敵対的例に対する主な防御メカニズムは何か？ また、事前処理、処理中処理、事後処理の各段階でどのように異なるか？
• RQ3 転送性、耐環境性、不顕在性を備えた自然で実用的な物理的攻撃を開発する上で、主な課題は何か？
• RQ4 多様な攻撃形態に対応できる普遍的防御を設計するには、どのようにすれば効率を損なわずに実現できるか？
• RQ5 既存のアプローチに内在する精度と耐性のトレードオフを回避できる、効率的な物理的防御を開発できるか？

主な発見

• 物理的敵対的攻撃はデジタル攻撃よりも実用的であるが、視点、照明、カメラ処理への耐性に課題を抱えている。
• 現在の転送ベースの物理的攻撃は依然として弱く、クエリアクセスが制限されるブラックボックス環境では特に弱い。
• 不顕在性は依然として主要な課題であり、センサ撮影下で効果を発揮するためには、しばしば目に見えるパターンを必要とする。
• 論理的推論と証拠蓄積（例：DDDM）を用いた事後処理防御は、非論理的誤分類を顕著に低減する。
• 攻撃タイプに普遍的に一般化できる防御はまだ十分に発展しておらず、重要な研究ギャップが浮き彫りになっている。
• 追加の計算コストなしに実現できる効率的防御は未だに達成されておらず、物理的環境下でも精度と耐性のトレードオフは継続的に存在する。