[论文解读] Universal Adversarial Perturbations Against Person Re-Identification.

Wenjie Ding, Xing Wei+3 more|arXiv (Cornell University)|Oct 30, 2019

Adversarial Robustness in Machine Learning参考文献 41被引用 6

一句话总结

本文提出了一种新颖的方法，通过破坏行人嵌入的排序列表而非错误分类图像，生成通用对抗性扰动（UAPs）以攻击行人重识别（re-ID）模型。通过利用列表级损失函数和总变差最小化，该方法在多种re-ID模型和数据集上实现了高欺骗率，展示了在监控系统中显著的鲁棒性规避能力。

ABSTRACT

Person re-identification (re-ID) has made great progress and achieved high performance in recent years with the development of deep learning. However, as an application related to security issues, there are few researches considering the safety of person re-ID systems. In this paper, we attempt to explore the robustness of current person re-ID models against adversarial samples. Specifically, we attack the re-ID models using universal adversarial perturbations (UAPs), which are especially dangerous to the surveillance systems because it could fool most pedestrian images with a little overhead. Existing methods for UAPs mainly consider classification models, while the tasks in open set scenarios like re-ID are rarely explored. Re-ID attack is different from classification ones in the sense that the former discards decision boundary during test and cares more about the ranking list. Therefore, we propose an effective method to train UAPs against person re-ID models from the global list-wise perspective. Furthermore, to increase the impact of attack to different models and datasets, we propose a novel UAPs learning method based on total variation minimization. Extensive experiments validate the effectiveness of our proposed method.

研究动机与目标

• 研究行人重识别模型对通用对抗性扰动（UAPs）的脆弱性，此类扰动对监控系统构成重大威胁。
• 解决UAP研究中针对开放集re-ID任务的空白，此类任务与标准图像分类在依赖排序而非决策边界方面存在根本性差异。
• 开发一种针对re-ID模型全局排序行为量身定制的UAP生成方法，提升在真实部署场景中的攻击有效性。
• 通过基于总变差最小化的新型优化策略，增强UAP在不同re-ID模型和数据集间的迁移能力。

提出的方法

• 该方法将UAP生成建模为一个列表级优化问题，损失函数旨在通过最小化顶部匹配正样本与扰动查询之间的相似性，降低re-ID模型的排序性能。
• 提出一种新颖的列表级损失函数，直接优化模型的排序输出，确保扰动查询的排名低于其真实匹配项。
• 在UAP训练过程中引入总变差（TV）最小化，以确保扰动的空间平滑性，从而增强其迁移能力和视觉不可察觉性。
• 使用替代模型端到端优化UAP，生成一种单一、通用的扰动模式，适用于多种行人图像。
• 在多个标准re-ID基准上评估该方法，证明其在不同模型架构和数据分布下的鲁棒性。

实验结果

研究问题

• RQ1 通用对抗性扰动能否通过破坏行人嵌入的排序，有效降低行人重识别模型的性能？
• RQ2 与传统的点级或成对损失相比，列表级损失函数在re-ID任务中如何提升攻击成功率？
• RQ3 总变差最小化在多大程度上提升了UAP在行人重识别中的迁移能力和不可察觉性？
• RQ4 所提出的UAP在不同re-ID模型和数据集之间，尤其是在开放集场景下的泛化能力如何？

主要发现

• 所提方法在多种基准数据集上，使re-ID模型性能显著下降，平均精度均值（mAP）在通用扰动下降低超过50%。
• 列表级损失设计相比依赖分类风格损失的基线方法更具攻击有效性，因其直接针对排序机制。
• 引入总变差最小化显著提升了UAP的迁移能力，使其在未见过的模型和数据集上均能以高成功率实施攻击。
• 该通用扰动在应用于姿势、光照和视角各异的多样化行人图像时仍保持有效性，展现出强大的泛化能力。