[论文解读] Robust Physical Adversarial Attack on Faster R-CNN Object Detector

Shang-Tse Chen, Cory Cornelius+2 more|arXiv (Cornell University)|Apr 16, 2018

Adversarial Robustness in Machine Learning被引用 52

一句话总结

本文提出了一种针对Faster R-CNN目标检测器的鲁棒物理对抗攻击，通过将期望变换（Expectation over Transformation, EoT）技术适配至物理场景，生成能够抵御真实世界失真（如视角变化、光照变化和相机效应）的扰动。该方法成功在多种尺度和观测条件下使停车标志被误分类为其他物体，揭示了自动驾驶等安全关键系统中的严重漏洞。

ABSTRACT

Given the ability to directly manipulate image pixels in the digital input space, an adversary can easily generate imperceptible perturbations to fool a Deep Neural Network (DNN) image classifier, as demonstrated in prior work. In this work, we tackle the more challenging problem of crafting physical adversarial perturbations to fool image-based object detectors like Faster R-CNN. Attacking an object detector is more difficult than attacking an image classifier, as it needs to mislead the classification results in multiple bounding boxes with different scales. Extending the digital attack to the physical world adds another layer of difficulty, because it requires the perturbation to be robust enough to survive real-world distortions due to different viewing distances and angles, lighting conditions, and camera limitations. We show that the Expectation over Transformation technique, which was originally proposed to enhance the robustness of adversarial perturbations in image classification, can be successfully adapted to the object detection setting. Our approach can generate adversarially perturbed stop signs that are consistently mis-detected by Faster R-CNN as other objects, posing a potential threat to autonomous vehicles and other safety-critical computer vision systems.

研究动机与目标

• 解决在真实世界环境中可靠生成物理对抗样本以欺骗目标检测器（如Faster R-CNN）的挑战。
• 克服在不同观测距离、角度、光照条件及相机限制下维持对抗扰动的困难。
• 将原本用于数字图像分类的期望变换（Expectation over Transformation, EoT）技术，适配至具有多个边界框和尺度变化的更复杂目标检测场景。
• 证明物理对抗攻击在真实世界目标检测系统中的可行性与鲁棒性，特别是在自动驾驶等安全关键应用中。

提出的方法

• 将期望变换（Expectation over Transformation, EoT）技术适配至目标检测场景，以提升对抗扰动在真实世界变换下的鲁棒性。
• 在物理停车标志上生成对抗扰动，使其在相机和环境因素导致的旋转、缩放和模糊等失真下仍保持有效性。
• 通过可微分的可微分变换过程优化扰动，以模拟各种真实世界的图像退化和视角变化。
• 将扰动应用于物理停车标志，并在不同距离和角度下测试其误检率。
• 以Faster R-CNN检测器为目标模型，旨在使停车标志被误分类为其他物体类别。
• 通过在不同环境条件下多次推理运行，测量误检频率来评估攻击的成功率。

实验结果

研究问题

• RQ1 能否将专为数字图像分类设计的对抗扰动有效适配至物理世界中的目标检测器（如Faster R-CNN）？
• RQ2 对抗扰动对真实世界失真（如视角变化、光照变化和相机模糊）的鲁棒性如何？
• RQ3 期望变换（Expectation over Transformation, EoT）技术在目标检测中在多大程度上提升了对抗样本的物理鲁棒性？
• RQ4 能否可靠生成物理对抗样本，以在自动驾驶系统中持续导致停车标志被误检为其他物体？
• RQ5 在涉及多尺度和多种视角角度的真实部署条件下，此类攻击的成功率如何？

主要发现

• 所提方法成功生成了物理对抗扰动，在多种测试条件下均能持续误导Faster R-CNN将停车标志误检为其他物体。
• 采用期望变换（EoT）显著增强了对抗样本的鲁棒性，使其能够抵御真实世界失真（如视角变化和相机模糊）。
• 即使在不同距离和角度下观察，该攻击仍保持高成功率，证明了其实际可行性。
• 对抗扰动对人眼完全不可察觉，保持了原始标志的视觉完整性。
• 该攻击揭示了自动驾驶系统中目标检测器存在的严重漏洞，物理对抗样本可能导致危险的误分类。
• 结果证实，物理对抗攻击对安全关键型计算机视觉应用构成切实威胁。