[论文解读] Adversarial Metric Attack for Person Re-identification.

Song Bai, Yingwei Li+3 more|arXiv (Cornell University)|Jan 30, 2019

Adversarial Robustness in Machine Learning被引用 7

一句话总结

本文提出对抗性度量攻击（Adversarial Metric Attack），一种新颖的方法，通过利用距离度量中的漏洞，专门针对行人重识别（re-ID）生成对抗性样本。通过应用人眼难以察觉的扰动，该攻击破坏了度量的鲁棒性，揭示了re-ID系统中的关键安全缺陷，并凸显了对对抗性鲁棒特征学习的迫切需求。

ABSTRACT

Person re-identification (re-ID) has attracted much attention recently due to its great importance in video surveillance. In general, distance metrics used to identify two person images are expected to be robust under various appearance changes. However, our work observes the extreme vulnerability of existing distance metrics to adversarial examples, generated by simply adding human-imperceptible perturbations to person images. Hence, the security danger is dramatically increased when deploying commercial re-ID systems in video surveillance, especially considering the highly strict requirement of public safety. Although adversarial examples have been extensively applied for classification analysis, it is rarely studied in metric analysis like person re-identification. The most likely reason is the natural gap between the training and testing of re-ID networks, that is, the predictions of a re-ID network cannot be directly used during testing without an effective metric. In this work, we bridge the gap by proposing Adversarial Metric Attack, a parallel methodology to adversarial classification attacks, which can effectively generate adversarial examples for re-ID. Comprehensive experiments clearly reveal the adversarial effects in re-ID systems. Moreover, by benchmarking various adversarial settings, we expect that our work can facilitate the development of robust feature learning with the experimental conclusions we have drawn.

研究动机与目标

• 研究现有行人重识别距离度量对对抗性样本的脆弱性。
• 解决度量学习中，特别是re-ID中缺乏对抗性攻击的问题，其中预测依赖于学习到的度量而非直接分类。
• 弥合分类任务与基于度量的系统（如re-ID）之间对抗性攻击的差距。
• 证明生成可降低re-ID度量性能的对抗性样本的可行性和影响。
• 为re-ID中的对抗性鲁棒性提供实证基准，指导未来鲁棒特征学习的发展。

提出的方法

• 提出一种并行于对抗性分类攻击的框架，专门针对基于度量的re-ID系统进行定制。
• 通过在行人图像上施加人眼难以察觉的扰动来生成对抗性样本，以破坏距离度量的计算。
• 利用re-ID中训练与测试之间的固有差异，即模型预测依赖于学习到的度量而非直接输出。
• 设计一种直接针对度量学习目标的攻击策略，使其在推理阶段无法获取分类输出时依然有效。
• 采用基于梯度的优化方法，构造能最大化度量失真同时保持视觉不可察觉性的扰动。
• 在多个re-ID基准上验证攻击，以确保对抗性样本的泛化性和鲁棒性。

实验结果

研究问题

• RQ1 现有行人重识别中的距离度量对对抗性扰动有多脆弱？
• RQ2 能否在re-ID等度量学习系统中有效生成对抗性样本，即使推理阶段无法直接访问分类头？
• RQ3 与标准分类任务相比，re-ID中对抗性攻击的关键特征和成功模式是什么？
• RQ4 不同的对抗性设置如何影响re-ID系统在度量攻击下的性能退化？
• RQ5 对抗性样本在多大程度上会破坏现实世界监控应用中re-ID系统的可靠性？

主要发现

• 行人重识别中现有的距离度量对通过不可察觉扰动生成的对抗性样本高度脆弱。
• 对抗性度量攻击即使在无法直接访问分类输出的情况下，也能通过操纵度量空间成功降低re-ID性能。
• 全面的实验结果证实，对抗性扰动在多个基准数据集上显著降低了re-ID的准确率。
• 该攻击在多种不同的re-ID设置中均表现出一致的成功，表明当前度量学习方法存在系统性漏洞。
• 本研究提供了实证基准，可为未来开发更鲁棒的re-ID特征学习方法提供指导。