[论文解读] Adversarial Attacks in a Multi-view Setting: An Empirical Study of the Adversarial Patches Inter-view Transferability

Bilel Tarchoun, Ihsen Alouani+2 more|arXiv (Cornell University)|Oct 10, 2021

Adversarial Robustness in Machine Learning参考文献 20被引用 7

一句话总结

本文提出一种方法，通过应用透视几何变换对现有补丁施加视角变化，以研究多视角目标检测中对抗性补丁的视角转移性。结果表明，视角变化会极大降低补丁的有效性——有时超过90%，凸显了在对抗性攻击与防御设计中纳入视角变化的必要性。

ABSTRACT

While machine learning applications are getting mainstream owing to a demonstrated efficiency in solving complex problems, they suffer from inherent vulnerability to adversarial attacks. Adversarial attacks consist of additive noise to an input which can fool a detector. Recently, successful real-world printable adversarial patches were proven efficient against state-of-the-art neural networks. In the transition from digital noise based attacks to real-world physical attacks, the myriad of factors affecting object detection will also affect adversarial patches. Among these factors, view angle is one of the most influential, yet under-explored. In this paper, we study the effect of view angle on the effectiveness of an adversarial patch. To this aim, we propose the first approach that considers a multi-view context by combining existing adversarial patches with a perspective geometric transformation in order to simulate the effect of view angle changes. Our approach has been evaluated on two datasets: the first dataset which contains most real world constraints of a multi-view context, and the second dataset which empirically isolates the effect of view angle. The experiments show that view angle significantly affects the performance of adversarial patches, where in some cases the patch loses most of its effectiveness. We believe that these results motivate taking into account the effect of view angles in future adversarial attacks, and open up new opportunities for adversarial defenses.

研究动机与目标

• 研究视角变化对多视角目标检测系统中对抗性补丁转移性与有效性的影响。
• 解决现有研究通常在单个视角下孤立评估对抗性补丁，而未考虑真实世界多视角动态的问题。
• 开发并验证一种利用透视几何变换对预训练对抗性补丁进行视角变化模拟的方法。
• 提出一个新的受控数据集（LATIS-MVAPE），将视角变化作为主要变量用于实证评估。
• 提供实证证据表明，当从非最优视角观察时，对抗性补丁的有效性会显著下降，为未来鲁棒性与防御策略设计提供参考。

提出的方法

• 作者对现有对抗性补丁应用透视几何变换，以模拟视角变化，从而在不同视角下评估补丁性能。
• 采用[8]中的攻击生成方法训练补丁，以最小化行人检测的置信度分数，聚焦于可打印且类内差异较大的目标。
• 损失函数结合不可打印性得分（$L_{nps}$）、总变差损失（$L_{tv}$）和置信度损失（$L_{obj}$），通过Adam优化器并使用经验调优的权重进行优化。
• 使用两个数据集：Wildtrack（具有环境多样性的真实世界多视角数据集）和LATIS-MVAPE（受控数据集，包含7个视角和2种距离共252张图像，用于隔离视角变化的影响）。
• 对于每个视角，补丁在经过几何变换后应用，并使用基于YOLO的行人检测器测量检测召回率，以评估攻击成功率。
• 以参考视角作为基线，通过对比干净输入与带补丁输入的召回率差异，量化性能下降百分比。

实验结果

研究问题

• RQ1 视角变化如何影响多视角目标检测中对抗性补丁的转移性与有效性？
• RQ2 当对抗性补丁应用于与训练时不同的视角时，其性能会下降到何种程度？
• RQ3 能否构建一个受控数据集以隔离视角变化对对抗性补丁性能的影响？
• RQ4 在多个视角（包括非正前方视角）上进行训练是否能提升补丁对视角变化的鲁棒性？
• RQ5 视角变化效应对未来对抗性攻击与多视角防御设计有何影响？

主要发现

• 在Wildtrack数据集上，对抗性补丁从参考视角（视角1）转移到其他视角时，有效性最高下降94.01%，其中视角7的召回率下降达94.01%。
• 在LATIS-MVAPE数据集中，仅在参考视角（第5个视角）上训练的补丁，在第90个视角上的召回率仅为38.89%，表明在极端视角下性能严重下降。
• 当补丁在参考视角和第60个视角上同时训练时，其在第90个视角的召回率提升至27.78%，表明多视角训练可缓解但无法完全消除视角变化带来的性能下降。
• 即使在LATIS-MVAPE数据集的最佳情况下，补丁在第120个视角上的召回率最高仅为96.43%，表明视角变化仍是限制补丁鲁棒性的关键因素。
• 研究结果证实，视角是导致对抗性补丁失效的主导因素，在多个案例中性能下降超过80%，尤其在斜视角下更为显著。
• 结果表明，多视角检测器通过融合多个摄像头的信息，可作为有效防御手段，迫使攻击者需同时欺骗所有视角。