[论文解读] Metric Attack and Defense for Person Re-identification

Song Bai, Yingwei Li+3 more|arXiv (Cornell University)|Jan 30, 2019

Adversarial Robustness in Machine Learning被引用 16

一句话总结

本文提出对抗性度量攻击（Adversarial Metric Attack），一种新颖方法，通过利用距离度量中的漏洞，生成严重降低行人重识别（re-ID）性能的对抗性样本。此外，本文还提出一种保持度量的网络用于防御，证明了对抗性攻击可严重破坏基于度量的re-ID系统，且通过针对性训练可提升系统鲁棒性。

ABSTRACT

Person re-identification (re-ID) has attracted much attention recently due to its great importance in video surveillance. In general, distance metrics used to identify two person images are expected to be robust under various appearance changes. However, our work observes the extreme vulnerability of existing distance metrics to adversarial examples, generated by simply adding human-imperceptible perturbations to person images. Hence, the security danger is dramatically increased when deploying commercial re-ID systems in video surveillance. Although adversarial examples have been extensively applied for classification analysis, it is rarely studied in metric analysis like person re-identification. The most likely reason is the natural gap between the training and testing of re-ID networks, that is, the predictions of a re-ID network cannot be directly used during testing without an effective metric. In this work, we bridge the gap by proposing Adversarial Metric Attack, a parallel methodology to adversarial classification attacks. Comprehensive experiments clearly reveal the adversarial effects in re-ID systems. Meanwhile, we also present an early attempt of training a metric-preserving network, thereby defending the metric against adversarial attacks. At last, by benchmarking various adversarial settings, we expect that our work can facilitate the development of adversarial attack and defense in metric-based applications.

研究动机与目标

• 调查现有行人重识别（re-ID）距离度量对对抗性样本的脆弱性。
• 解决基于度量学习中对抗性攻击研究的不足，特别是在re-ID中，其训练与推理涉及独立的度量阶段。
• 提出一种适用于度量学习的并行对抗性攻击框架，类似于分类任务中的对抗性攻击。
• 设计一种防御机制——保持度量的网络，以在对抗性扰动下维持度量鲁棒性。
• 建立对抗性设置的基准，为基于度量的应用中对抗性鲁棒性的未来研究奠定基础。

提出的方法

• 提出对抗性度量攻击，通过在行人图像上施加微小且难以察觉的扰动，破坏re-ID中的距离度量，从而生成对抗性样本。
• 将对抗性分类攻击的原理适配至度量学习场景，将度量视为可微分组件，以优化实现最大度量失真。
• 设计一种保持度量的网络，在训练过程中联合优化特征嵌入与度量鲁棒性，以抵抗对抗性扰动。
• 采用损失函数，促使模型在对抗性噪声下仍能保持正样本对与负样本对之间的一致度量距离。
• 使用标准re-ID基准数据集，在多种对抗性设置下评估攻击的有效性与防御的鲁棒性。
• 采用基于梯度的优化方法，生成使正确匹配与错误分类的行人对之间距离度量误差最大化的扰动。

实验结果

研究问题

• RQ1 现有行人重识别中的距离度量对对抗性扰动有多脆弱？
• RQ2 对抗性攻击能否有效迁移至re-ID中依赖学习距离函数的度量学习阶段？
• RQ3 导致re-ID系统度量性能下降的对抗性样本的关键特征是什么？
• RQ4 能否设计一种防御机制，在对抗性攻击下保持度量完整性？
• RQ5 保持度量的训练策略在多种对抗性设置下提升鲁棒性的有效性如何？

主要发现

• 现有行人重识别中的距离度量对对抗性样本高度脆弱，即使扰动微小且难以察觉。
• 对抗性度量攻击显著降低re-ID性能，表明基于度量的系统易受针对性攻击。
• 所提出的保持度量网络有效减轻了对抗性攻击的影响，在基准数据集上提升了鲁棒性。
• 全面的消融实验表明，该防御机制在多种对抗性设置下均能保持高精度。
• 本研究揭示了商业re-ID系统在视频监控中部署时因度量层面的漏洞而存在关键安全缺口。
• 研究结果为未来基于度量学习应用中对抗性鲁棒性的研究奠定了基础。