[论文解读] Physical Adversarial Textures that Fool Visual Object Tracking

Rey Reza Wiyatno, Anqi Xu|arXiv (Cornell University)|Apr 24, 2019

Adversarial Robustness in Machine Learning参考文献 25被引用 11

一句话总结

本文提出了物理对抗性纹理（PATs）——一种不易察觉的类似海报的图案，可在真实世界中欺骗视觉目标跟踪系统。通过在期望变换（EOT）框架内优化引导式对抗损失，该方法生成的纹理即使在多变的光照、视角和观测条件下，也能使GOTURN等跟踪器丢失目标，展示了成功的模拟到现实的迁移能力以及鲁棒的对抗行为。

ABSTRACT

We present a system for generating inconspicuous-looking textures that, when displayed in the physical world as digital or printed posters, cause visual object tracking systems to become confused. For instance, as a target being tracked by a robot's camera moves in front of such a poster, our generated texture makes the tracker lock onto it and allows the target to evade. This work aims to fool seldom-targeted regression tasks, and in particular compares diverse optimization strategies: non-targeted, targeted, and a new family of guided adversarial losses. While we use the Expectation Over Transformation (EOT) algorithm to generate physical adversaries that fool tracking models when imaged under diverse conditions, we compare the impacts of different conditioning variables, including viewpoint, lighting, and appearances, to find practical attack setups with high resulting adversarial strength and convergence speed. We further showcase textures optimized solely using simulated scenes can confuse real-world tracking systems.

研究动机与目标

• 开发可在物理世界中实现的对抗性纹理，以干扰真实环境中的视觉目标跟踪系统。
• 评估并比较不同的对抗损失目标函数——非目标攻击、目标攻击以及一种新型的引导式对抗损失——以提升攻击效果。
• 研究EOT框架中场景变量随机化的影响，以识别实现鲁棒物理对抗性能的最小但有效的变换组合。
• 展示在非真实感模拟器中生成的PATs通过使用漫反射材料成功实现模拟到现实的迁移。
• 揭示仅依赖视觉的跟踪系统对细微、不易察觉的物理图案的脆弱性。

提出的方法

• 该方法采用期望变换（EOT）框架，在相机位姿、光照、背景和目标位置等随机变化下优化对抗性纹理。
• 提出了一类新型引导式对抗损失，通过在非目标攻击与目标攻击之间取得平衡，提升收敛速度和对抗强度。
• 攻击通过可微分渲染管道优化纹理，以模拟包括透视、模糊和光照在内的真实成像条件。
• 优化过程在保持扰动视觉上不易察觉的前提下，对纹理图案应用基于梯度的更新。
• 该方法在不同物理条件下评估PATs的鲁棒性，包括不同距离、角度和运动模糊。
• 通过将非真实感模拟器中生成的纹理部署到物理海报上，验证了模拟到现实的迁移效果，成功欺骗了真实世界的跟踪器。

实验结果

研究问题

• RQ1 能否生成在真实世界环境中可物理实现的对抗性纹理，使视觉目标跟踪器丢失目标？
• RQ2 不同的对抗损失目标函数——非目标攻击、目标攻击和引导式损失——如何影响物理对抗攻击的收敛速度和强度？
• RQ3 在EOT框架中，哪些场景变量必须进行随机化，才能在不增加不必要的计算开销的前提下实现鲁棒的物理对抗性能？
• RQ4 在非真实感模拟器中训练的对抗性纹理在多大程度上能成功迁移到真实世界的跟踪系统？
• RQ5 即使目标在被遮挡后重新出现，物理上不易察觉的纹理是否仍能引发持续的跟踪器误分类？

主要发现

• 与非目标攻击和目标攻击损失相比，引导式对抗损失家族显著提升了收敛速度和对抗强度。
• 包含‘条纹斑块’的物理对抗性纹理始终导致GOTURN将注意力锁定在纹理上而非目标上，即使目标重新出现。
• 在80次静态跟踪运行中，攻击在57次中表现良好；在18次动态跟踪（伺服）运行中，有6次成功，表明在动态条件下具有鲁棒性。
• 在非真实感模拟器中优化的PATs成功迁移到真实世界环境，成功欺骗了摄像头和机器人跟踪系统。
• 仅随机化关键场景变量（如相机位置、光照和目标位置）即可生成强健的物理对抗样本，避免了不必要的计算开销。
• 模拟到现实迁移的成功可能得益于GOTURN难以区分合成图案与真实目标，暗示了其在现实世界中有效性的潜在机制。