[论文解读] AVA: Adversarial Vignetting Attack against Visual Recognition

Binyu Tian, Felix Juefei-Xu+4 more|arXiv (Cornell University)|May 12, 2021

Adversarial Robustness in Machine Learning参考文献 41被引用 5

一句话总结

本文提出 AVA（对抗性暗角攻击），一种新颖的隐蔽对抗性攻击方法，利用自然图像中的暗角效应生成难以察觉、物理上合理的对抗性样本。通过建模物理参数的暗角效应，并利用几何感知水平集方法联合优化攻击区域与参数，AVA 在 CIFAR10、Tiny ImageNet 和 DEV 数据集上的 ResNet50、EfficientNet-B0、DenseNet121 和 MobileNet-V2 模型上实现了高迁移性，其成功率和图像质量均优于基线方法。

ABSTRACT

Vignetting is an inherited imaging phenomenon within almost all optical systems, showing as a radial intensity darkening toward the corners of an image. Since it is a common effect for photography and usually appears as a slight intensity variation, people usually regard it as a part of a photo and would not even want to post-process it. Due to this natural advantage, in this work, we study vignetting from a new viewpoint, i.e., adversarial vignetting attack (AVA), which aims to embed intentionally misleading information into vignetting and produce a natural adversarial example without noise patterns. This example can fool the state-of-the-art deep convolutional neural networks (CNNs) but is imperceptible to humans. To this end, we first propose the radial-isotropic adversarial vignetting attack (RI-AVA) based on the physical model of vignetting, where the physical parameters (e.g., illumination factor and focal length) are tuned through the guidance of target CNN models. To achieve higher transferability across different CNNs, we further propose radial-anisotropic adversarial vignetting attack (RA-AVA) by allowing the effective regions of vignetting to be radial-anisotropic and shape-free. Moreover, we propose the geometry-aware level-set optimization method to solve the adversarial vignetting regions and physical parameters jointly. We validate the proposed methods on three popular datasets, i.e., DEV, CIFAR10, and Tiny ImageNet, by attacking four CNNs, e.g., ResNet50, EfficientNet-B0, DenseNet121, and MobileNet-V2, demonstrating the advantages of our methods over baseline methods on both transferability and image quality.

研究动机与目标

• 开发一种新颖的对抗性攻击方法，利用自然暗角效应生成难以察觉的对抗性样本。
• 解决传统对抗性攻击中引入可见噪声模式的问题，这些模式容易被检测到。
• 提升对抗性样本在多种深度神经网络架构间的迁移能力。
• 确保对抗性样本保持真实感，并能抵御亮度调整和暗角校正等常见图像校正技术。
• 探索利用物理成像现象作为对抗性扰动载体的可行性和有效性。

提出的方法

• 提出径向各向同性 AVA（RI-AVA），通过照明因子、焦距等物理参数建模暗角效应，并利用目标 CNN 的梯度引导进行调优。
• 引入径向各向异性 AVA（RA-AVA），允许形状自由且各向异性的有效暗角区域，以增强在不同模型间的迁移能力。
• 开发几何感知水平集优化方法，联合求解对抗性暗角区域与物理参数。
• 基于余弦四次定律的物理暗角模型，确保真实感并避免人工噪声模式。
• 采用基于梯度的迭代优化方法，生成最大化误分类率同时最小化感知失真的对抗性样本。
• 在标准数据集（CIFAR10、Tiny ImageNet、DEV）和多种 SOTA 模型（ResNet50、EfficientNet-B0、DenseNet121、MobileNet-V2）上验证该方法。

实验结果

研究问题

• RQ1 自然图像暗角效应能否被用作隐蔽载体，用于对抗性扰动而不引入可见噪声？
• RQ2 如何优化暗角的物理参数（如照明因子、焦距）以在保持图像真实感的同时最大化攻击成功率？
• RQ3 与各向同性区域相比，径向各向异性和形状自由的暗角区域是否能提升在多样化深度神经网络中的迁移能力？
• RQ4 所提出的 AVA 方法对常见图像校正技术（如 Zero-DCE 的亮度与暗角调整）具有多大程度的鲁棒性？
• RQ5 几何感知水平集优化方法在联合学习对抗区域与物理参数方面有多大的改进效果？

主要发现

• 在 DEV 数据集上，从 ResNet50 攻击 EfficientNet 时，RA-AVA 实现了 37.21% 的迁移成功率，优于基线方法在迁移性和图像质量方面的表现。
• 在相同攻击下，RA-AVA 的 BRISQUE 得分为 11.0，NIQE 为 37.04，表明其具有高感知质量与低失真。
• 在 Tiny ImageNet 数据集上，即使经过 Zero-DCE 校正，RA-AVA 仍保持高攻击成功率，ResNet50 的准确率降至 19.72%，显示出对强度校正的鲁棒性。
• 所提出的水平集优化方法成功识别出几何一致且物理合理的对抗性暗角区域。
• 与基于噪声的攻击（如 FGSM、BIM）和非噪声方法（如 cAdv）相比，AVA 生成的对抗性样本更平滑、更逼真，感知可察觉性更低。
• 该方法对 Zero-DCE（一种最先进的图像增强模型）表现出强鲁棒性，校正后仅约有 10% 的准确率提升，表明其对常见图像修复技术具有抗性。