[论文解读] Segment and Complete: Defending Object Detectors against Adversarial Patch Attacks with Robust Patch Detection

Jiang Liu, Alexander Levine+3 more|arXiv (Cornell University)|Dec 8, 2021

Adversarial Robustness in Machine Learning被引用 6

一句话总结

本文提出了一种名为SAC（Segment and Complete）的防御框架，通过鲁棒的补丁分割与形状补全技术，检测并移除目标检测输入中的对抗性补丁。SAC在100×100补丁攻击下实现了45.0%的mAP，较未防御模型高出30.6%，同时在干净图像上保持49.0%的mAP，且在未见过的补丁形状、攻击预算和攻击方法上均表现出良好的泛化能力。

ABSTRACT

Object detection plays a key role in many security-critical systems. Adversarial patch attacks, which are easy to implement in the physical world, pose a serious threat to state-of-the-art object detectors. Developing reliable defenses for object detectors against patch attacks is critical but severely understudied. In this paper, we propose Segment and Complete defense (SAC), a general framework for defending object detectors against patch attacks through detection and removal of adversarial patches. We first train a patch segmenter that outputs patch masks which provide pixel-level localization of adversarial patches. We then propose a self adversarial training algorithm to robustify the patch segmenter. In addition, we design a robust shape completion algorithm, which is guaranteed to remove the entire patch from the images if the outputs of the patch segmenter are within a certain Hamming distance of the ground-truth patch masks. Our experiments on COCO and xView datasets demonstrate that SAC achieves superior robustness even under strong adaptive attacks with no reduction in performance on clean images, and generalizes well to unseen patch shapes, attack budgets, and unseen attack methods. Furthermore, we present the APRICOT-Mask dataset, which augments the APRICOT dataset with pixel-level annotations of adversarial patches. We show SAC can significantly reduce the targeted attack success rate of physical patch attacks. Our code is available at https://github.com/joellliu/SegmentAndComplete.

研究动机与目标

• 解决目标检测器在面对物理和数字对抗性补丁攻击时缺乏鲁棒防御的紧迫问题。
• 克服深度模型大感受野导致局部对抗性补丁对目标检测全局造成干扰的挑战。
• 开发一种无需微调基础目标检测器的通用防御方法。
• 实现在自适应攻击下仍能进行像素级补丁检测并可靠移除。
• 构建一个新的基准数据集，包含物理对抗性补丁的像素级标注，以支持未来研究。

提出的方法

• 利用新提出的APRICOT-Mask数据集中提供的像素级标注，训练补丁分割器，生成初始对抗性补丁掩码。
• 应用自对抗训练，提升补丁分割器对对抗扰动的鲁棒性。
• 设计一种鲁棒的形状补全算法，确保当初始掩码与真实标签的汉明距离在指定范围内时，能保证补丁的完整覆盖。
• 使用补全后的掩码在输入图像中遮蔽对抗性补丁区域，再将其送入基础目标检测器。
• 通过将补丁检测与检测推理解耦，确保防御方法与目标检测器无关。
• 利用空间上下文和形状先验，即使初始分割不完美，也能提升检测的可靠性。

实验结果

研究问题

• RQ1 像素级补丁检测方法是否能显著提升目标检测器对对抗性补丁攻击的鲁棒性？
• RQ2 自对抗训练在自适应攻击下是否能有效提升补丁分割器的鲁棒性？
• RQ3 当初始检测部分准确时，形状补全算法是否能保证补丁的完整移除？
• RQ4 该防御方法在未见过的补丁形状、攻击预算和攻击方法上的泛化能力如何？
• RQ5 与现有防御方法相比，该方法在真实世界物理补丁攻击下的表现如何？

主要发现

• SAC在COCO数据集上面对100×100对抗性补丁攻击时实现45.0%的mAP，较未防御模型提升30.6%。
• 该防御在干净COCO图像上保持49.0%的mAP，表明在干净数据上无性能下降。
• 在xView数据集上，SAC将定向物理补丁攻击的成功率从7.97%降低至2.17%。
• SAC能有效泛化至未见过的补丁形状（如圆形、椭圆形、矩形），即使形状补全先验假设补丁为方形。
• 失败案例稀少，主要源于未检测到的补丁或掩码引起的误报，可通过模型微调或内容修复技术缓解。
• APRICOT-Mask数据集提供了首个公开的物理对抗性补丁像素级标注，为未来补丁检测与移除研究提供支持。