[论文解读] Analysis of Deep Networks for Monocular Depth Estimation Through Adversarial Attacks with Proposal of a Defense Method

Junjie Hu, Takayuki Okatani|arXiv (Cornell University)|Nov 20, 2019

Adversarial Robustness in Machine Learning参考文献 29被引用 12

一句话总结

本文提出一种针对单目深度估计（MDE）卷积神经网络（CNN）对抗攻击的防御方法，通过使用显著性图预测器对非显著像素进行掩码处理。该方法利用通过对抗训练训练出的鲁棒显著性网络来识别图像中的关键区域，从而在 IFGSM 攻击下将深度估计误差从 RMSE 1.778 降低至 0.655，揭示了攻击主要利用非显著像素这一现象。

ABSTRACT

In this paper, we consider adversarial attacks against a system of monocular depth estimation (MDE) based on convolutional neural networks (CNNs). The motivation is two-fold. One is to study the security of MDE systems, which has not been actively considered in the community. The other is to improve our understanding of the computational mechanism of CNNs performing MDE. Toward this end, we apply the method recently proposed for visualization of MDE to defending attacks. It trains another CNN to predict a saliency map from an input image, such that the CNN for MDE continues to accurately estimate the depth map from the image with its non-salient part masked out. We report the following findings. First, unsurprisingly, attacks by IFGSM (or equivalently PGD) succeed in making the CNNs yield inaccurate depth estimates. Second, the attacks can be defended by masking out non-salient pixels, indicating that the attacks function by perturbing mostly non-salient pixels. However, the prediction of saliency maps is itself vulnerable to the attacks, even though it is not the direct target of the attacks. We show that the attacks can be defended by using a saliency map predicted by a CNN trained to be robust to the attacks. These results provide an effective defense method as well as a clue to understanding the computational mechanism of CNNs for MDE.

研究动机与目标

• 研究基于深度卷积神经网络（CNN）的单目深度估计（MDE）系统的安全漏洞。
• 通过分析对抗样本，理解 CNN 在 MDE 中所采用的计算机制。
• 开发一种在保持深度估计精度的同时抵御对抗攻击的防御机制。
• 评估显著性图预测网络在对抗扰动下的鲁棒性。

提出的方法

• 使用基于 Hu 等人 [10] 的显著性图预测网络 $G$，用于识别对深度估计至关重要的像素。
• 对 $G$ 进行对抗训练，构建 $G_{\mathrm{adv}}$，即对 IFGSM 攻击具有鲁棒性的显著性预测器。
• 利用 $G_{\mathrm{adv}}$ 对对抗输入执行逐像素掩码，仅保留显著像素后输入深度估计器 $N$。
• 采用 $\epsilon = 0.1$ 且迭代 5–10 次的 IFGSM（PGD）攻击生成对抗样本以供评估。
• 使用与 $N$ 相同的损失函数生成对抗样本以训练 $G_{\mathrm{adv}}$，确保其与 $N$ 的对齐。
• 通过在多种损失函数和网络深度下计算深度估计的 RMSE，评估防御性能。

实验结果

研究问题

• RQ1 通过 IFGSM 攻击是否能显著降低单目深度估计 CNN 的性能？
• RQ2 使用显著性图预测器识别的非显著像素进行掩码处理，是否能提升对对抗攻击的鲁棒性？
• RQ3 当显著性图预测网络 $G$ 未经过对抗训练时，其自身是否容易受到对抗扰动的影响？
• RQ4 对显著性网络 $G$ 进行对抗训练，是否能提升其在 IFGSM 攻击下对深度估计的防御性能？
• RQ5 显著性网络 $G_{\mathrm{adv}}$ 的深度如何影响防御机制的鲁棒性？

主要发现

• 使用 $\epsilon=0.1$ 且迭代 10 次的 IFGSM 攻击显著降低了深度估计性能，平均 RMSE 从干净输入的 0.664 上升至 1.778。
• 使用标准显著性图预测器对非显著像素进行掩码处理，可将 RMSE 降低至 0.664，表明攻击主要针对非显著区域。
• 即使并非直接目标，显著性图预测器 $G$ 也容易受到对抗攻击，表现为干净输入与对抗输入之间预测显著性图存在显著差异。
• 使用通过对抗训练获得的鲁棒显著性预测器 $G_{\mathrm{adv}}$，在 IFGSM 攻击下可将 RMSE 降低至 0.655，证明了该防御方法的有效性。
• 增加 $G_{\mathrm{adv}}$ 的层数可提升防御性能，RMSE 从 22 层时的 0.664 降低至 54 层时的 0.655。
• 该防御方法在不同损失函数（如 $\ell_1$、$\ell_2$、REL、$\log 10$、$\ell_{\rm dif}$）下均保持一致性能，RMSE 始终低于 0.665。