[论文解读] Identifying and Resisting Adversarial Videos Using Temporal Consistency

Xiaojun Jia, Xingxing Wei+1 more|arXiv (Cornell University)|Sep 11, 2019

Adversarial Robustness in Machine Learning参考文献 31被引用 11

一句话总结

本文提出了一种两阶段防御框架，用于对抗性视频，利用时间一致性检测攻击，并应用定制的空间或时间去噪以抵抗攻击。通过利用对抗性扰动会破坏深度神经网络中帧间输出一致性的事实，该方法可检测稀疏和密集攻击，并应用 ComDefend（空间）或时间重建（时间）来恢复鲁棒性，在 UCF-101 上实现了显著的准确率提升。

ABSTRACT

Video classification is a challenging task in computer vision. Although Deep Neural Networks (DNNs) have achieved excellent performance in video classification, recent research shows adding imperceptible perturbations to clean videos can make the well-trained models output wrong labels with high confidence. In this paper, we propose an effective defense framework to characterize and defend adversarial videos. The proposed method contains two phases: (1) adversarial video detection using temporal consistency between adjacent frames, and (2) adversarial perturbation reduction via denoisers in the spatial and temporal domains respectively. Specifically, because of the linear nature of DNNs, the imperceptible perturbations will enlarge with the increasing of DNNs depth, which leads to the inconsistency of DNNs output between adjacent frames. However, the benign video frames often have the same outputs with their neighbor frames owing to the slight changes. Based on this observation, we can distinguish between adversarial videos and benign videos. After that, we utilize different defense strategies against different attacks. We propose the temporal defense, which reconstructs the polluted frames with their temporally neighbor clean frames, to deal with the adversarial videos with sparse polluted frames. For the videos with dense polluted frames, we use an efficient adversarial denoiser to process each frame in the spatial domain, and thus purify the perturbations (we call it as spatial defense). A series of experiments conducted on the UCF-101 dataset demonstrate that the proposed method significantly improves the robustness of video classifiers against adversarial attacks.

研究动机与目标

• 解决深度视频分类器对利用难以察觉扰动的对抗性攻击的脆弱性。
• 通过引入视频数据特有的时间动态特性，克服基于图像的防御方法的局限性。
• 开发一种检测机制，利用相邻帧之间输出的一致性，区分良性视频与对抗性视频。
• 设计自适应防御策略——空间与时间策略——以应对不同攻击模式（稀疏 vs. 密集帧污染）。

提出的方法

• 利用深度神经网络在相邻视频帧之间的输出时间一致性作为检测信号：良性视频表现出高一致性，而对抗性视频由于扰动放大而表现出不一致性。
• 引入一个定量的时间一致性度量，将输入分类为三类：干净视频、稀疏对抗性视频和密集对抗性视频。
• 对稀疏攻击应用时间防御：利用运动估计和相邻干净帧重建被污染的帧，以恢复时间一致性。
• 对密集攻击应用空间防御：使用 ComDefend（一种基于端到端图像压缩的去噪器），逐帧去除对抗性扰动。
• 将检测与防御整合为统一流程：根据检测结果选择防御策略，以保持干净视频性能并最大化鲁棒性。

实验结果

研究问题

• RQ1 相邻视频帧之间 DNN 输出的时间一致性是否能可靠检测对抗性视频攻击？
• RQ2 所提出的方法如何基于帧级输出行为区分稀疏与密集对抗性攻击？
• RQ3 时间重建是否能有效防御稀疏对抗性攻击（即仅关键帧被污染）？
• RQ4 使用 ComDefend 的空间去噪是否能有效缓解密集对抗性攻击（即所有帧均被污染）？
• RQ5 将检测与自适应防御策略相结合，是否能在不降低干净视频准确率的前提下提升整体鲁棒性？

主要发现

• 检测模块成功利用时间一致性度量将视频分类为干净、稀疏对抗性及密集对抗性三类。
• 时间防御在稀疏攻击下显著提升准确率：CNN+LSTM 在稀疏攻击条件下的准确率从 31% 提升至 55%。
• 空间防御在密集攻击下表现强劲：C3D 在密集攻击条件下的准确率从 59% 提升至 73%。
• 结合检测与自适应防御的集成框架实现了最高的整体准确率，优于独立防御方法。
• 时间防御在干净视频上造成的准确率下降极小（远低于防御攻击带来的下降），表明其与良性输入具有高度兼容性。
• 该方法通过利用扰动在时空维度上传播的结构性差异，有效抵抗了最先进的视频对抗性攻击。