[论文解读] Adversarial Color Film: Effective Physical-World Attack to DNNs

Chengyin Hu, Weiwen Shi|arXiv (Cornell University)|Sep 2, 2022

Adversarial Robustness in Machine Learning被引用 5

一句话总结

本文提出对抗性彩色胶片（AdvCF），一种基于相机的新型物理世界攻击方法，通过操纵彩色胶片参数生成对深度神经网络（DNN）有效的对抗性样本。通过利用胶片的光学特性，AdvCF在数字和物理环境中均实现了高可迁移性和鲁棒性，展现出强大的黑盒攻击性能，并为通过对抗性训练进行防御提供了洞见。

ABSTRACT

It is well known that the performance of deep neural networks (DNNs) is susceptible to subtle interference. So far, camera-based physical adversarial attacks haven't gotten much attention, but it is the vacancy of physical attack. In this paper, we propose a simple and efficient camera-based physical attack called Adversarial Color Film (AdvCF), which manipulates the physical parameters of color film to perform attacks. Carefully designed experiments show the effectiveness of the proposed method in both digital and physical environments. In addition, experimental results show that the adversarial samples generated by AdvCF have excellent performance in attack transferability, which enables AdvCF effective black-box attacks. At the same time, we give the guidance of defense against AdvCF by means of adversarial training. Finally, we look into AdvCF's threat to future vision-based systems and propose some promising mentality for camera-based physical attacks.

研究动机与目标

• 解决深度神经网络领域中基于相机的物理对抗攻击研究不足的问题。
• 开发一种实用且有效的基于彩色胶片作为介质生成物理对抗性样本的方法。
• 评估对抗性样本在真实世界部署场景中的可迁移性和鲁棒性。
• 通过对抗性训练为防御此类攻击提供指导。

提出的方法

• 该方法利用彩色胶片的光学特性，将对抗性扰动编码到物理打印输出中。
• 将攻击建模为对胶片参数（如色彩平衡、曝光）的优化问题，以在相机成像约束下最大化误分类。
• 通过可微成像流程对相机-胶片交互进行建模，以模拟真实世界的图像捕获过程。
• 生成的对抗性样本在多种 DNN 和物理条件下均保持高攻击成功率。
• 通过确保扰动在不同模型间具有高可迁移性，实现黑盒攻击。
• 将对抗性训练作为防御评估机制，以评估鲁棒性。

实验结果

研究问题

• RQ1 彩色胶片能否有效用作生成 DNN 对抗性物理样本的介质？
• RQ2 与数字攻击相比，所提出方法在真实世界基于相机的攻击中表现如何？
• RQ3 AdvCF 生成的对抗性样本在不同 DNN 架构之间的可迁移性达到何种程度？
• RQ4 影响对抗性鲁棒性和可迁移性的关键胶片物理参数有哪些？
• RQ5 对抗性训练在防御 AdvCF 风格攻击方面有多有效？

主要发现

• AdvCF 在数字和物理环境中均实现了高攻击成功率，展现出对真实世界成像变化的强鲁棒性。
• 对抗性样本表现出高可迁移性，可对未见过的 DNN 模型实现有效的黑盒攻击。
• 该方法在多种相机和胶片设置下保持有效性，表明其在物理世界中的广泛应用潜力。
• 对抗性训练显著提升了模型对 AdvCF 的抗性，验证了其作为防御策略的有效性。
• 即使在光照和相机条件变化的情况下，该攻击依然有效，凸显其对视觉系统的真实威胁。
• 本研究揭示，胶片的光学特性可系统性地被利用以生成强大的物理对抗性样本。