ズームイン・ズームアウトによる敵対的攻撃！

adversarial perturbation 2022年09月14日

3つの要点
✔️ ズームイン・ズームアウトを使って対象物の特徴を変えずにDNNを欺く手法
✔️ 敵対的摂動を加えない、唯一の敵対的攻撃手法
✔️ 敵対的訓練によって、提案手法の攻撃に対する防御の方法のガイドラインを提示

Adversarial Zoom Lens: A Novel Physical-World Attack to DNNs
written by Chengyin Hu, Weiwen Shi
(Submitted on 23 Jun 2022)
Comments: Published on arxiv.
Subjects: Cryptography and Security (cs.CR); Artificial Intelligence (cs.AI); Computer Vision and Pattern Recognition (cs.CV); Machine Learning (cs.LG)

code：

本記事で使用している画像は論文中のもの、紹介スライドのもの、またはそれを参考に作成したものを使用しております。

研究背景と概要

DNNを欺くような攻撃を、敵対的攻撃といいます。敵対的攻撃の多くは、画像に人間では知覚できないような摂動を加えることで分類器を欺くという手法です。しかし、物理的なシーンにおいては、カメラで撮影した画像を分類器に入力して分類するので、微妙なノイズはカメラからは見えなくなってしまいます。

物理敵対攻撃には、以下のような課題があります。

印刷後のわずかなデジタル誤差をとらえることが困難
完璧に敵対的摂動を印刷することが困難（印刷ロス）
攻撃のロバスト性と隠ぺい性の両立が困難

これらの課題を踏まえて、著者らはAdversarial Zoom Lens (AdvZL)と呼ばれる新しい物理的な敵対的攻撃を提案しています。AdvZLは、物理的な摂動がないので、上記に挙げたような物理敵対的攻撃の難しさを根本的に解決しています。

上の図は、物理環境における提案手法の攻撃の模式図です。自動運転車のカメラに搭載された自動ズームレンズによって車が道路標識を通過する際にズームイン・ズームアウトして、高度なDNNを欺くことができます。

著者らの貢献

著者らの主な貢献は以下の三つにまとめられます。

ズームレンズを操作することで、物理的な妨害を加えることなく物理敵対的攻撃を実現する技術である、AdvZLを提案
拡大された画像がDNNを欺くことができることを検証するためのデータセットを構築
デジタルテストと物理テストにより、AdvZLの有効性を検証

提案手法

データセットの生成（デジタル環境での攻撃）

ズームアップの方法は以下の図のように、Nピクセル幅を外枠からのぞいた後、元の大きさにリサイズします。

著者らの提案する攻撃サンプルのデータセットは、Imagenetから派生したもので、Imagenet-ZOOMIN (Imagenet-ZI)と著者らは呼んでいます。Imagenetの画像に対して、各画像の拡大率を１０段階に変えてデータセットを作成しています。Nピクセルは６～６０ピクセルに設定してあり、６ピクセル間隔で設定しています。

ズームレンズ攻撃（物理環境での攻撃）

デジタル環境では、Imagenet-ZOOMINをDNNに分類させることで、提案手法の有効性を検証します。物理環境では、ズームレンズによって写真の拡大縮小を行います。

物理環境での敵対的サンプル生成は、以下の手順で行います。

通常画像Xを異なる度合いで拡大・縮小し、ラベルYに対する分類器ｆの信頼スコアが最も小さい画像を敵対的サンプルの候補とします
候補の敵対的サンプルが分類器を欺くことができた場合、その敵対的サンプルを出力します

欺くことができるかどうかは分類器の閾値によるので、このような手順で敵対的サンプルを生成しています。

実験

AdvZLの評価

デジタル環境における５０万件の敵対サンプルを含むImagenet-ZIデータセットで、AdvZLの有効性を検証します。下の表は、Imagenet-ZIデータセットに対するDNNの分類精度です。

この表を見ると、ズームの倍率が上がるほどすべてのDNNにおいて精度が低下していることがわかります。これは、画像の意味的特徴は変化しておらず、画像の拡大率が大きくなるほどDNNに対する攻撃が強くなっていることを示しています。このことは、DNNの欠点も明らかにしています。これらの分類器は、特定の距離で撮影された写真のデータセットで学習されます。画像を拡大する処理は、撮影者と被写体との距離が縮まることとみなせるので、画像の距離が変わると分類域は誤った分類判定をしていると考えられます。

次に、物理環境における評価を確認していきます。次の図は、物理環境下での敵対的サンプルの例と、そのときの予測結果を表しています。