[论文解读] Towards Understanding the Adversarial Vulnerability of Skeleton-based Action Recognition

Tianhang Zheng, Liu Sheng+4 more|arXiv (Cornell University)|May 14, 2020

Adversarial Robustness in Machine Learning参考文献 48被引用 14

一句话总结

该论文提出了一种使用ADMM的约束优化框架，用于生成对动作识别模型具有不可察觉性且符合生理特性的对抗性骨骼动作，同时引入基于高斯噪声和滤波的认证防御。该方法在极小的约束违规下实现了高达100%的攻击成功率，揭示了基于骨骼的动作识别系统存在显著的对抗脆弱性。

ABSTRACT

Skeleton-based action recognition has attracted increasing attention due to its strong adaptability to dynamic circumstances and potential for broad applications such as autonomous and anonymous surveillance. With the help of deep learning techniques, it has also witnessed substantial progress and currently achieved around 90\% accuracy in benign environment. On the other hand, research on the vulnerability of skeleton-based action recognition under different adversarial settings remains scant, which may raise security concerns about deploying such techniques into real-world systems. However, filling this research gap is challenging due to the unique physical constraints of skeletons and human actions. In this paper, we attempt to conduct a thorough study towards understanding the adversarial vulnerability of skeleton-based action recognition. We first formulate generation of adversarial skeleton actions as a constrained optimization problem by representing or approximating the physiological and physical constraints with mathematical formulations. Since the primal optimization problem with equality constraints is intractable, we propose to solve it by optimizing its unconstrained dual problem using ADMM. We then specify an efficient plug-in defense, inspired by recent theories and empirical observations, against the adversarial skeleton actions. Extensive evaluations demonstrate the effectiveness of the attack and defense method under different settings.

研究动机与目标

• 理解在现实场景中，当扰动必须不可察觉且具有物理可行性时，基于骨骼的动作识别模型的对抗脆弱性。
• 解决在严格时空约束下生成对抗性骨骼动作的挑战，包括固定骨骼长度、小关节角度变化以及受限的运动速度。
• 开发一种尊重人体解剖与物理约束的高效攻击方法，同时保持高成功率。
• 提出一种基于高斯噪声与滤波的认证防御机制，以提高对对抗性骨骼动作的鲁棒性。

提出的方法

• 将对抗性骨骼动作生成建模为带有骨骼长度、关节角度和运动速度数学约束的约束优化问题。
• 利用交替方向乘子法（ADMM）将难以处理的原始问题转化为无约束的对偶问题。
• 通过ADMM优化对偶问题，内部最小化使用Adam，外部最大化使用一步梯度上升。
• 设计一种即插即用的防御方法，在推理阶段应用高斯噪声并使用高斯滤波处理动作序列，受认证防御理论启发。
• 在训练和认证中使用相同的噪声水平，以在ℓ₂扰动下实现认证鲁棒性。
• 利用原始问题与对偶问题之间的对偶性，确保约束满足的同时实现高效优化。

实验结果

研究问题

• RQ1 在对抗性骨骼动作中，必须保留哪些关键的物理与解剖约束，以确保不可察觉性和可重现性？
• RQ2 如何在复杂且非平凡的约束下生成对抗性骨骼动作，以防止现有攻击方法的直接应用？
• RQ3 约束违规对对抗性动作的真实感与可检测性有何影响？
• RQ4 认证防御能否有效应用于基于骨骼的动作识别？其可达到的鲁棒性水平如何？
• RQ5 在不同数据集和模型架构下，攻击性能在目标攻击与非目标攻击设置下的表现如何变化？

主要发现

• 在非目标设置下，该攻击在Kinetics-400数据集上实现了100%的成功率，且约束违规极小（ΔB/B < 2.7%，ΔK/K < 0.17）。
• 在目标设置下，攻击保持高成功率（HCN上为90.2%，2s-AGCN上为99.2%），扰动极小（ℓ₂ ≈ 0.1–1.0），且关节角度变化低（ΔJ/J < 0.22）。
• 该防御方法在ℓ₂ = 0.5时实现了约50%的认证准确率，干净准确率下降10–20%，表明其具备有效的鲁棒性认证能力。
• 该攻击成功使最先进的模型如HCN和2s-AGCN将暴力动作（如踢、打）误分类为正常动作（如“喝水”）。
• 结果表明，即使在Kinetics-400的400个动作类别下，该方法仍保持有效性，表明其在多样化动作空间中具有良好的泛化能力。
• 可视化与定量结果证实，扰动不可察觉且可重现，验证了对抗样本的真实性。