[论文解读] Boosting the Transferability of Video Adversarial Examples via Temporal Translation

Zhipeng Wei, Jingjing Chen+2 more|arXiv (Cornell University)|Oct 18, 2021

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本文提出一种时间迁移（TT）方法，以提升视频对抗样本在黑箱攻击视频识别模型时的迁移性。通过在时间上偏移的视频片段上生成对抗扰动，该方法降低了对模型特定时间模式的敏感性，在Kinetics-400上实现61.56%的平均攻击成功率，在UCF-101上实现48.60%。

ABSTRACT

Although deep-learning based video recognition models have achieved remarkable success, they are vulnerable to adversarial examples that are generated by adding human-imperceptible perturbations on clean video samples. As indicated in recent studies, adversarial examples are transferable, which makes it feasible for black-box attacks in real-world applications. Nevertheless, most existing adversarial attack methods have poor transferability when attacking other video models and transfer-based attacks on video models are still unexplored. To this end, we propose to boost the transferability of video adversarial examples for black-box attacks on video recognition models. Through extensive analysis, we discover that different video recognition models rely on different discriminative temporal patterns, leading to the poor transferability of video adversarial examples. This motivates us to introduce a temporal translation attack method, which optimizes the adversarial perturbations over a set of temporal translated video clips. By generating adversarial examples over translated videos, the resulting adversarial examples are less sensitive to temporal patterns existed in the white-box model being attacked and thus can be better transferred. Extensive experiments on the Kinetics-400 dataset and the UCF-101 dataset demonstrate that our method can significantly boost the transferability of video adversarial examples. For transfer-based attack against video recognition models, it achieves a 61.56% average attack success rate on the Kinetics-400 and 48.60% on the UCF-101. Code is available at https://github.com/zhipeng-wei/TT.

研究动机与目标

• 解决在黑箱攻击设置下，视频对抗样本在不同视频识别模型间迁移性差的问题。
• 探究现有基于迁移的攻击为何在视频模型上失效，特别是由于对模型特定时间模式的依赖。
• 通过减轻对判别性时间模式的敏感性，开发一种在多种视频识别架构间泛化对抗样本的方法。
• 证明时间迁移可与现有攻击方法有效结合，以提升迁移性。
• 在标准视频基准数据集（Kinetics-400和UCF-101）上提供该方法有效性的实证验证。

提出的方法

• 通过在时间轴上向前和向后移动长度$L$，对视频片段应用时间迁移，生成包括原始片段在内的$2L+1$个片段。
• 使用每个时间迁移后的片段，从白盒模型中计算梯度，捕捉模型对时间动态偏移的响应。
• 将迁移后的梯度重新排序回原始时间顺序，并使用可学习或预设的权重矩阵组合，形成增强梯度。
• 利用增强梯度生成对源模型判别性时间模式不敏感的对抗样本。
• 将时间迁移模块与现有攻击方法（如PGD、BIM、MI、ATA）集成，以在单步和迭代攻击设置中提升其迁移性。
• 通过实证评估不同配置：偏移长度$L$、权重矩阵类型（均匀、线性、高斯）以及偏移策略（相邻、随机、远距离）。

实验结果

研究问题

• RQ1 为何视频对抗样本在不同视频识别模型间表现出较差的迁移性？
• RQ2 视频模型中的判别性时间模式如何影响对抗样本的泛化能力？
• RQ3 时间迁移能否降低对抗样本对模型特定时间模式的敏感性？
• RQ4 为最大化迁移性，最优的偏移长度、权重矩阵和偏移策略配置为何？
• RQ5 时间迁移在视频设置中与现有基于迁移的攻击方法相比或互补时表现如何？

主要发现

• 所提出的時間遷移方法顯著提升遷移性，在基於遷移的攻擊設定下，於Kinetics-400上實現61.56%的平均攻擊成功率，於UCF-101上實現48.60%。
• TT(1)搭配高斯權重矩陣在NL-101上實現最高平均攻擊成功率66.80%，優於均勻與線性矩陣。
• 相鄰偏移策略的攻擊成功率高於隨機或遠距離偏移，因其提供更穩定的梯度估計。
• 增加偏移長度$L$可提升性能至某一點，$L=7$在性能與計算成本之間達致最佳平衡。
• 將時間遷移與動量基攻擊（如MI+TT(10)）結合可進一步提升效果，在Kinetics-400上優於單步攻擊。
• 該方法作為補充模塊有效，可增強現有基於遷移的攻擊方法，且無需修改模型架構。