[论文解读] Robustness of SAM: Segment Anything Under Corruptions and Beyond

Yu Qiao, Chaoning Zhang+4 more|arXiv (Cornell University)|Jun 13, 2023

Adversarial Robustness in Machine Learning被引用 7

一句话总结

本文首次全面评估了分割一切模型（SAM）在多种损坏、遮挡和对抗性攻击下的鲁棒性。研究发现，SAM 对大多数常见损坏和中等程度的遮挡具有鲁棒性，但对局部对抗性补丁攻击和全局不可察觉对抗性攻击（尤其是基于 PGD 的扰动）极为脆弱。

ABSTRACT

Segment anything model (SAM), as the name suggests, is claimed to be capable of cutting out any object and demonstrates impressive zero-shot transfer performance with the guidance of prompts. However, there is currently a lack of comprehensive evaluation regarding its robustness under various corruptions. Understanding the robustness of SAM across different corruption scenarios is crucial for its real-world deployment. Prior works show that SAM is biased towards texture (style) rather than shape, motivated by which we start by investigating its robustness against style transfer, which is synthetic corruption. Following by interpreting the effects of synthetic corruption as style changes, we proceed to conduct a comprehensive evaluation for its robustness against 15 types of common corruption. These corruptions mainly fall into categories such as digital, noise, weather, and blur, and within each corruption category, we explore 5 severity levels to simulate real-world corruption scenarios. Beyond the corruptions, we further assess the robustness of SAM against local occlusion and local adversarial patch attacks. To the best of our knowledge, our work is the first of its kind to evaluate the robustness of SAM under style change, local occlusion, and local adversarial patch attacks. Given that patch attacks visible to human eyes are easily detectable, we further assess its robustness against global adversarial attacks that are imperceptible to human eyes. Overall, this work provides a comprehensive empirical study of the robustness of SAM, evaluating its performance under various corruptions and extending the assessment to critical aspects such as local occlusion, local adversarial patch attacks, and global adversarial attacks. These evaluations yield valuable insights into the practical applicability and effectiveness of SAM in addressing real-world challenges.

研究动机与目标

• 评估分割一切模型（SAM）在各种现实世界和合成损坏下的鲁棒性。
• 研究 SAM 在局部遮挡和局部对抗性补丁攻击下的表现，这些攻击与现实世界部署中的挑战密切相关。
• 评估 SAM 对具有不可察觉扰动的全局对抗性攻击的脆弱性，特别是在点提示和框提示下的表现。
• 理解风格迁移作为合成损坏的代理时，其对 SAM 零样本分割性能的影响。
• 为 SAM 在现实世界视觉应用中的实际局限性和优势提供实证洞察。

提出的方法

• 使用标准基准协议，在 5 个严重程度下评估 SAM 在 15 种常见损坏（数字、噪声、天气、模糊）下的鲁棒性。
• 使用风格迁移作为合成损坏，以评估 SAM 对纹理与形状变化的敏感性，每张内容图像使用 5 种不同风格图像。
• 通过不同遮挡率（最高达 80%）进行局部遮挡实验，以测试 SAM 对部分图像遮蔽的鲁棒性。
• 应用局部图像无关对抗性补丁攻击，以评估在可见、局部扰动下的鲁棒性。
• 使用 FGSM 和 PGD 方法进行全局对抗性攻击，扰动幅度（δ）从 0.1 到 8.0 不等，以测试不可察觉攻击下的鲁棒性。
• 在所有攻击和损坏场景中使用 mIoU、精确率、召回率和 F1 分数作为评估指标，并辅以可视化进行定性分析。

实验结果

研究问题

• RQ1 SAM 在合成风格迁移损坏下的表现如何？当图像内容在形状上保持不变但风格发生变化时，其鲁棒性是否依然保持？
• RQ2 SAM 在现实世界常见损坏（如噪声、模糊和天气影响）下的鲁棒性如何？其在多个严重程度下表现如何？
• RQ3 SAM 对局部遮挡的鲁棒性如何？在何种遮挡比例下性能会显著下降？
• RQ4 局部对抗性补丁攻击在降低 SAM 分割性能方面的有效性如何？补丁大小和位置如何影响攻击结果？
• RQ5 SAM 对全局不可察觉对抗性攻击（FGSM 和 PGD）的脆弱性如何？攻击强度（δ）是否与性能下降相关？

主要发现

• SAM 对大多数常见损坏（如噪声、模糊和天气影响）表现出中等鲁棒性，但在变焦模糊下性能显著下降。
• SAM 在局部遮挡下最多可维持 60% 的遮挡比例下的合理性能，但在 80% 遮挡时性能急剧下降。
• 局部对抗性补丁攻击能有效降低 SAM 的分割性能，结果表明补丁大小和位置对攻击成功率的影响相对有限。
• SAM 极其容易受到全局对抗性攻击的影响：在 δ ≥ 3.0 的 PGD-20 攻击下，mIoU 分数接近于零，类似条件下 F1 分数低于 0.3。
• PGD 攻击在降低 SAM 性能方面始终优于 FGSM，表明迭代攻击比单步攻击更有效。
• 即使使用基于框的提示，SAM 仍易受全局对抗性攻击影响，表明提示类型无法显著提升对这类威胁的鲁棒性。