[论文解读] A Survey on Physical Adversarial Attack in Computer Vision

Donghua Wang, Wen Yao+3 more|arXiv (Cornell University)|Sep 28, 2022

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本综述对计算机视觉中的物理对抗攻击进行了全面且最新的分析，将2016至2023年间95项研究归纳为一种新颖的五阶段分类法：受害者模型选择、问题建模、优化、部署和评估。该综述识别出在真实世界条件下模型鲁棒性的关键挑战，并为更有效、可复现的物理攻击指明了未来研究方向。

ABSTRACT

Over the past decade, deep learning has revolutionized conventional tasks that rely on hand-craft feature extraction with its strong feature learning capability, leading to substantial enhancements in traditional tasks. However, deep neural networks (DNNs) have been demonstrated to be vulnerable to adversarial examples crafted by malicious tiny noise, which is imperceptible to human observers but can make DNNs output the wrong result. Existing adversarial attacks can be categorized into digital and physical adversarial attacks. The former is designed to pursue strong attack performance in lab environments while hardly remaining effective when applied to the physical world. In contrast, the latter focus on developing physical deployable attacks, thus exhibiting more robustness in complex physical environmental conditions. Recently, with the increasing deployment of the DNN-based system in the real world, strengthening the robustness of these systems is an emergency, while exploring physical adversarial attacks exhaustively is the precondition. To this end, this paper reviews the evolution of physical adversarial attacks against DNN-based computer vision tasks, expecting to provide beneficial information for developing stronger physical adversarial attacks. Specifically, we first proposed a taxonomy to categorize the current physical adversarial attacks and grouped them. Then, we discuss the existing physical attacks and focus on the technique for improving the robustness of physical attacks under complex physical environmental conditions. Finally, we discuss the issues of the current physical adversarial attacks to be solved and give promising directions.

研究动机与目标

• 为应对深度神经网络在现实世界系统中日益广泛应用所带来的对更鲁棒物理对抗攻击的迫切需求。
• 为图像识别、目标检测等任务中的物理对抗攻击提供系统性的分类法。
• 识别评估中的关键缺口，包括缺乏标准化基准和动态测试标准。
• 探索对抗样本的双重用途：除攻击外，还可用于提升复杂环境中模型的鲁棒性与稳定性。

提出的方法

• 提出了一种五阶段分类法：受害者模型、问题建模、优化、攻击部署和评估。
• 采用基于关键词和参考文献的文献收集方法，系统回顾了2016年至2023年7月间发表的95篇近期物理对抗攻击论文。
• 按任务类型（图像识别、目标检测、其他）对攻击方法进行分类，并分析了提升物理条件下鲁棒性的技术。
• 在不同数据集和部署场景下评估现有攻击方法，揭示了评估协议中的一致性问题。
• 提出利用仿真环境（如Carla、AirSim）来实现受控条件下物理攻击测试的标准化与可复现性。
• 识别出对统一物理测试标准的迫切需求，包括动态环境、环境因素和分辨率限制等。

实验结果

研究问题

• RQ1 如何对攻击全周期中的物理对抗攻击进行系统性分类？
• RQ2 在真实世界环境变化下，确保对抗样本物理鲁棒性的关键技术挑战是什么？
• RQ3 为何当前物理对抗攻击的可复现性受到限制？仿真测试如何改善这一问题？
• RQ4 数字攻击中的迁移性和鲁棒性在多大程度上能转化为物理世界中的实际有效性？
• RQ5 对抗扰动除了用于攻击外，是否具有潜在的积极应用，例如提升模型在复杂环境中的鲁棒性？

主要发现

• 物理对抗攻击相关论文数量显著增长，2016至2023年间共审查了95项研究，表明该领域研究兴趣持续上升。
• 目前大多数物理攻击集中于图像识别和目标检测任务，而语义分割和目标跟踪等方向仍研究不足。
• 当前评估实践缺乏标准化，存在数据集不一致以及对环境条件描述不足的问题。
• 静态物理测试无法捕捉现实世界中物体运动和光照变化对攻击成功率的影响。
• 仿真平台（如Carla和AirSim）为实现可复现、受控的物理攻击评估提供了有前景的路径。
• 利用对抗样本作为训练数据，具有显著潜力可提升模型在复杂真实环境中的鲁棒性。