[论文解读] Cross-Modal Transferable Adversarial Attacks from Images to Videos

Zhipeng Wei, Jingjing Chen+2 more|arXiv (Cornell University)|Dec 10, 2021

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本文提出图像到视频（I2V）攻击，一种跨模态对抗攻击，通过最小化对抗样本与正常样本在中间特征上的余弦相似度，将 ImageNet 预训练图像模型的扰动迁移至黑箱视频识别模型。该方法在 Kinetics-400 和 UCF-101 上分别实现了 77.88% 和 65.68% 的平均攻击成功率，证明了显著的跨模态迁移能力。

ABSTRACT

Recent studies have shown that adversarial examples hand-crafted on one white-box model can be used to attack other black-box models. Such cross-model transferability makes it feasible to perform black-box attacks, which has raised security concerns for real-world DNNs applications. Nevertheless, existing works mostly focus on investigating the adversarial transferability across different deep models that share the same modality of input data. The cross-modal transferability of adversarial perturbation has never been explored. This paper investigates the transferability of adversarial perturbation across different modalities, i.e., leveraging adversarial perturbation generated on white-box image models to attack black-box video models. Specifically, motivated by the observation that the low-level feature space between images and video frames are similar, we propose a simple yet effective cross-modal attack method, named as Image To Video (I2V) attack. I2V generates adversarial frames by minimizing the cosine similarity between features of pre-trained image models from adversarial and benign examples, then combines the generated adversarial frames to perform black-box attacks on video recognition models. Extensive experiments demonstrate that I2V can achieve high attack success rates on different black-box video recognition models. On Kinetics-400 and UCF-101, I2V achieves an average attack success rate of 77.88% and 65.68%, respectively, which sheds light on the feasibility of cross-modal adversarial attacks.

研究动机与目标

• 探究图像模型到视频模型的对抗扰动跨模态迁移性。
• 解决在无法访问白盒视频模型的情况下，将对抗样本在不同模态（图像与视频）之间迁移的挑战。
• 开发一种利用图像与视频模型之间共享的中间特征空间，实现高效黑箱视频攻击的方法。
• 通过优化图像模型中间层的特征级相似度，提升迁移能力。
• 验证跨模态对抗攻击在真实深度神经网络应用中的可行性和有效性。

提出的方法

• I2V 攻击通过最小化图像模型中对抗样本与正常样本在中间特征上的余弦相似度，生成对抗性视频帧。
• 视频片段的每一帧均独立通过图像模型处理，利用特征空间优化生成对抗帧。
• 该方法利用图像与视频模型之间低层特征表示的相似性，实现跨模态迁移。
• 攻击使用损失函数，促使对抗特征在中间层空间中与正常特征保持正交。
• 提出一种集成变体 ENS-I2V，通过同时攻击多个图像模型进一步提升迁移能力。
• 通过按原始视频片段的时间顺序分组生成的对抗帧，保持时间一致性。

Figure 1 : Overview of the proposed I2V attack. Given a video clip with a true label of “Catching or throwing baseball”, where each frame is input into the ImageNet-pretrained image model separately. Then the image model generates adversarial frames by minimizing the cosine similarity between featur

实验结果

研究问题

• RQ1 在图像模型上生成的对抗扰动能否成功迁移至攻击黑箱视频识别模型？
• RQ2 图像与视频模型之间是否存在共享的中间特征空间，以支持跨模态对抗迁移？
• RQ3 当无法获得视频模型的白盒访问权限时，如何设计针对视频模型的对抗攻击？
• RQ4 在缺乏视频标签的情况下，何种优化目标可最大化从图像模型到视频模型的迁移能力？
• RQ5 对多个图像模型进行集成攻击是否能进一步提升跨模态攻击的成功率？

主要发现

• I2V 攻击在 Kinetics-400 上实现了 77.88% 的平均攻击成功率，在 UCF-101 上为 65.68%，证明了强大的跨模态迁移能力。
• 尽管未使用视频模型的白盒信息，该方法仍优于微调后的基线攻击方法（如 ILAF）。
• 在 Kinetics-400 上，当白盒模型为 TPN-101 时，I2V 攻击表现劣于基线，可能归因于 TPN-101 更优越的运动建模能力。
• 图像与视频特征余弦相似度趋势之间的皮尔逊相关系数（PCC）接近 1，表明存在强线性相关性，验证了特征级对齐的有效性。
• ENS-I2V 变体进一步提升了迁移能力，表明集成攻击可增强在多种视频模型架构下的鲁棒性。
• 结果证实，即使在图像与视频等不同模态之间，跨模态对抗迁移也是可行且有效的。

Figure 2 : Cosine similarity analysis of intermediate features between image models and video models on benign examples and adversarial examples. The cosine similarities are calculated on the averaged intermediate features extracted from 400 randomly selected videos in Kinetics-400. Adversarial vide