[论文解读] Dual Attention Suppression Attack: Generate Adversarial Camouflage in Physical World

Jiakai Wang, Aishan Liu+4 more|arXiv (Cornell University)|Mar 1, 2021

Adversarial Robustness in Machine Learning参考文献 45被引用 13

一句话总结

该论文提出了一种新型物理对抗攻击方法——双注意力抑制（Dual Attention Suppression, DAS），通过抑制模型共享注意力与人类自下而上的注意力，提升了攻击的迁移性与视觉自然性。通过干扰模型间的共享注意力模式，并使伪装与场景上下文对齐，DAS 生成了高度可迁移、视觉上逼真的对抗性伪装，在数字和物理环境下的分类与检测任务中均优于当前最先进（SOTA）方法。

ABSTRACT

Deep learning models are vulnerable to adversarial examples. As a more threatening type for practical deep learning systems, physical adversarial examples have received extensive research attention in recent years. However, without exploiting the intrinsic characteristics such as model-agnostic and human-specific patterns, existing works generate weak adversarial perturbations in the physical world, which fall short of attacking across different models and show visually suspicious appearance. Motivated by the viewpoint that attention reflects the intrinsic characteristics of the recognition process, this paper proposes the Dual Attention Suppression (DAS) attack to generate visually-natural physical adversarial camouflages with strong transferability by suppressing both model and human attention. As for attacking, we generate transferable adversarial camouflages by distracting the model-shared similar attention patterns from the target to non-target regions. Meanwhile, based on the fact that human visual attention always focuses on salient items (e.g., suspicious distortions), we evade the human-specific bottom-up attention to generate visually-natural camouflages which are correlated to the scenario context. We conduct extensive experiments in both the digital and physical world for classification and detection tasks on up-to-date models (e.g., Yolo-V5) and significantly demonstrate that our method outperforms state-of-the-art methods.

研究动机与目标

• 解决由于模型特异性扰动导致的物理对抗攻击迁移性有限的问题。
• 克服现有对抗性伪装在视觉上显得可疑、易吸引人类注意力的问题。
• 提升对抗样本在物理世界部署中的真实感与隐蔽性。
• 利用模型间的共享注意力模式与人类感知机制，实现更有效的攻击。
• 开发一种在真实场景中平衡高攻击成功率与高视觉自然性的方法。

提出的方法

• DAS 攻击采用双损失框架：通过模型注意力干扰损失，抑制模型间共享的注意力模式，将注意力从目标区域重新引导至非目标区域。
• 采用基于连通图的优化方法，重新分配注意力，确保在 YOLOv5、ResNet 和 DenseNet 等多样化模型间具备良好的迁移性。
• 引入人类注意力规避损失，通过保持与场景上下文的语义一致性，最小化扰动的显著性。
• 通过保留与环境具有高语义相关性的种子补丁的形状与内容，减少视觉异常。
• 通过超参数 λ 控制攻击成功率与视觉相似性之间的权衡，使用 SSIM 作为自然性的代理指标。
• 通过结合注意力干扰、人类注意力规避与平滑性项的复合损失，端到端优化攻击过程。

实验结果

研究问题

• RQ1 通过抑制模型间共享注意力模式，能否提升物理对抗攻击的迁移性？
• RQ2 通过规避人类自下而上的视觉注意力，能否提升对抗性伪装的视觉自然性？
• RQ3 结合与模型无关的注意力抑制与上下文感知的伪装生成，能否实现更有效且隐蔽的物理攻击？
• RQ4 攻击成功率与视觉相似性之间的平衡如何影响对抗性伪装的性能？
• RQ5 所提出方法是否能在多种模型与任务的数字与物理世界设置中，均超越当前最先进基线方法？

主要发现

• 在联合损失设置下，DAS 攻击在 Inception-V3 上达到 39.86% 的攻击成功率，在 DenseNet 上达到 55.42%，显著优于基线方法。
• 当 λ = 10⁻⁵ 时，DAS 方法在对抗样本与原始图像之间达到 0.7551 的 SSIM，表明具有出色的视觉自然性。
• 仅使用人类注意力规避损失，即可使 Inception-V3 上的攻击准确率提升至 59.87%，DenseNet 上达到 75.07%，证明其在增强隐蔽性方面的有效性。
• 当 λ 从 10⁻⁵ 增加到 10⁻¹ 时，SSIM 从 0.7034 提升至 0.9998，证实更高的 λ 可增强视觉相似性，但以牺牲攻击性能为代价。
• 消融实验表明，模型注意力干扰损失对迁移性至关重要，而人类注意力规避损失对视觉自然性必不可少。
• 该方法在黑盒物理世界设置下，对 YOLOv5、ResNet 和 Inception-V3 等模型均表现出强大的泛化能力。