[论文解读] SPARK: Spatial-aware Online Incremental Attack Against Visual Tracking

Qing Guo, Xiaofei Xie+6 more|arXiv (Cornell University)|Oct 19, 2019

Adversarial Robustness in Machine Learning参考文献 67被引用 7

一句话总结

SPARK 提出了一种面向视觉目标跟踪的时空感知在线增量攻击方法，能够在实时生成肉眼难以察觉且具备迁移性的扰动，从而误导跟踪器沿错误或指定轨迹运行。通过结合 $L_{2,1}$ 正则化与历史扰动反馈，SPARK 在极低延迟下实现高攻击成功率，在 OTB100、VOT2018、UAV123 和 LaSOT 基准测试中均优于基线方法，适用于 SiamRPN++ 和 SiamDW 模型。

ABSTRACT

Adversarial attacks of deep neural networks have been intensively studied on image, audio, natural language, patch, and pixel classification tasks. Nevertheless, as a typical, while important real-world application, the adversarial attacks of online video object tracking that traces an object's moving trajectory instead of its category are rarely explored. In this paper, we identify a new task for the adversarial attack to visual tracking: online generating imperceptible perturbations that mislead trackers along an incorrect (Untargeted Attack, UA) or specified trajectory (Targeted Attack, TA). To this end, we first propose a extit{spatial-aware} basic attack by adapting existing attack methods, i.e., FGSM, BIM, and C&W, and comprehensively analyze the attacking performance. We identify that online object tracking poses two new challenges: 1) it is difficult to generate imperceptible perturbations that can transfer across frames, and 2) real-time trackers require the attack to satisfy a certain level of efficiency. To address these challenges, we further propose the spatial-aware online incremental attack (a.k.a. SPARK) that performs spatial-temporal sparse incremental perturbations online and makes the adversarial attack less perceptible. In addition, as an optimization-based method, SPARK quickly converges to very small losses within several iterations by considering historical incremental perturbations, making it much more efficient than basic attacks. The in-depth evaluation on state-of-the-art trackers (i.e., SiamRPN++ with AlexNet, MobileNetv2, and ResNet-50, and SiamDW) on OTB100, VOT2018, UAV123, and LaSOT demonstrates the effectiveness and transferability of SPARK in misleading the trackers under both UA and TA with minor perturbations.

研究动机与目标

• 为解决在线视觉目标跟踪中对抗攻击研究的不足，该领域是自主系统中关键的实际应用场景。
• 识别攻击视觉跟踪所面临的独特挑战：有限的时间上下文、逐帧处理方式以及实时性约束。
• 开发一种高效、在线增量攻击方法，确保在帧与跟踪器之间保持不可察觉性与迁移性。
• 在多个基准数据集上，于无目标与有目标攻击设置下对最先进跟踪器进行评估。

提出的方法

• 将 FGSM、BIM 和 C&W 攻击方法改进为一种面向时空感知的基线攻击，用于逐帧生成对抗性扰动。
• 提出 SPARK，一种基于优化的方法，利用 $L_{2,1}$ 正则化施加时空稀疏增量扰动，以增强迁移性并降低可察觉性。
• 将历史攻击结果融入优化过程，以加速收敛并提升效率。
• 采用白盒攻击设置，通过基于梯度的优化，逐帧迭代更新扰动，以保持序列中的一致性。
• 利用迁移性：在轻量级模型（如 SiamRPN-AlexNet）上生成扰动，并将其应用于更重的模型（如 MobileNetV2、ResNet-50），以减少攻击时间。
• 采用多尺度空间注意力机制，聚焦于具有判别性与运动敏感性的区域，以最大化跟踪干扰效果。

实验结果

研究问题

• RQ1 不可察觉的、在线增量对抗扰动能否有效误导实时视觉跟踪器沿错误或指定轨迹运行？
• RQ2 与标准迭代攻击相比，SPARK 使用历史扰动反馈在攻击效率与收敛速度方面有何提升？
• RQ3 SPARK 的时空感知扰动设计在多大程度上提升了在不同跟踪模型与数据集间的迁移性？
• RQ4 SPARK 是否能在计算资源密集型跟踪器上保持近实时运行，同时维持高攻击成功率？

主要发现

• 在 SiamRPN-AlexNet 上，SPARK 实现了 24.3 fps 的攻击速度，支持近实时性能，适用于在线跟踪系统。
• 在 OTB100 数据集上，SPARK 将使用 ResNet-50 的 SiamRPN++ 精度从 85.6% 降低至 42.1%（无目标攻击），证明了其强大的攻击效果。
• 对于 SiamDW，SPARK 在无目标攻击下将精度从 87.3% 降低至 41.2%，验证了其在不同架构上的有效性。
• 攻击保持了高迁移性：在 SiamRPN-AlexNet 上生成的扰动可有效降低 MobileNetV2 和 ResNet-50 变体的性能，且几乎无需重新训练。
• 在 VOT2018 和 LaSOT 基准测试中，SPARK 在无目标设置下实现了 90% 的攻击成功率，优于基线方法 FGSM、BIM 和 C&W。
• 通过利用历史扰动反馈与 $L_{2,1}$ 正则化，SPARK 相较于标准迭代攻击将攻击时间减少了高达 60%。