[论文解读] Adversarial Laser Beam: Effective Physical-World Attack to DNNs in a Blink

Ranjie Duan, Xiaofeng Mao+5 more|arXiv (Cornell University)|Mar 11, 2021

Adversarial Robustness in Machine Learning参考文献 29被引用 18

一句话总结

本文提出了一种新型物理世界攻击方法——对抗性激光束（AdvLB），利用激光束作为对抗性扰动，实时欺骗深度神经网络（DNNs）。通过优化波长、强度等激光参数，AdvLB在数字环境中实现95.1%的攻击成功率，在户外物理测试中达到77.43%，揭示了激光光本身作为主导特征导致误分类，尤其对与光照相关的类别影响显著。

ABSTRACT

Though it is well known that the performance of deep neural networks (DNNs) degrades under certain light conditions, there exists no study on the threats of light beams emitted from some physical source as adversarial attacker on DNNs in a real-world scenario. In this work, we show by simply using a laser beam that DNNs are easily fooled. To this end, we propose a novel attack method called Adversarial Laser Beam ($AdvLB$), which enables manipulation of laser beam's physical parameters to perform adversarial attack. Experiments demonstrate the effectiveness of our proposed approach in both digital- and physical-settings. We further empirically analyze the evaluation results and reveal that the proposed laser beam attack may lead to some interesting prediction errors of the state-of-the-art DNNs. We envisage that the proposed $AdvLB$ method enriches the current family of adversarial attacks and builds the foundation for future robustness studies for light.

研究动机与目标

• 探究激光束是否可作为DNN在物理世界中的有效对抗性扰动。
• 开发一种利用可控激光束参数实现实时、高速攻击的方法。
• 评估激光基攻击在数字与物理环境中的隐蔽性与有效性。
• 分析DNN在激光束干扰下发生误分类的根本原因。
• 提出一种通过随机激光束增强实现防御的策略，以提升模型鲁棒性。

提出的方法

• 将激光束建模为可控制的物理参数集合（波长、强度、位置），用于对抗性操控。
• 设计一种贪心优化方法，在黑盒设置下搜索最有效的激光束配置。
• 采用k次随机重启策略以逃离局部最优，提升攻击成功率。
• 使用类别激活映射（CAM）可视化引入激光束后模型注意力的转移。
• 通过在训练图像中随机注入激光束实现数据增强，以构建防御机制。
• 使用SGD与余弦退火学习率策略，通过随机激光束增强训练ResNet50，实现更好的泛化性能。

实验结果

研究问题

• RQ1 激光束能否作为DNN在物理世界中的有效对抗性扰动？
• RQ2 激光束的物理参数（如波长、强度）如何影响DNN的误分类？
• RQ3 激光束引入了哪些主导视觉线索，导致错误预测？
• RQ4 在训练过程中引入随机激光束增强是否能提升DNN对这类攻击的鲁棒性？
• RQ5 AdvLB在数字、室内和户外物理环境中的攻击表现如何比较？

主要发现

• AdvLB在ImageNet的一个子集上实现了95.1%的攻击成功率。
• 在户外物理世界测试中，AdvLB实现了77.43%的攻击成功率，证明了其在真实场景中的可行性。
• 特定波长的激光束（如380 nm）可将'蜡烛'类别的预测概率从0.19%提升至6.21%。
• 激光束引入了主导性特征，误导DNN，尤其使预测偏向与光照相关的类别，如'火山'和'蜡烛'。
• 通过随机激光束增强训练的防御模型，干净准确率提升了0.21%，攻击成功率从95.1%降低至77.2%。
• CAM可视化结果表明，即使图像角落存在微小激光束，也能使模型注意力转移到错误类别，如'气泡'和'火山'。