Black-box Adversarial Attacks Against Image Quality Assessment Models

要約

No-Reference Image Quality Assessment (NR-IQA) の目標は、主観的な評価に基づいて画像の知覚品質を予測することです。
NR-IQA モデルを実践するには、モデルを改良するために潜在的な抜け穴を研究することが不可欠です。
この論文では、NR-IQA モデルに対するブラックボックス敵対的攻撃を調査する最初の試みを行います。
具体的には、最初に、視覚的な品質を維持するために摂動画像の歪みを制限しながら、元の画像と摂動画像の推定品質スコア間の偏差を最大化する攻撃問題を定式化します。
このような定式化に基づいて、敵対的な例の推定品質スコアを最大偏差で反対方向に誤解させるための双方向損失関数を設計します。
これに基づいて、最終的に、NR-IQA モデルに対する効率的かつ効果的なブラックボックス攻撃方法を開発します。
広範な実験により、評価されたすべての NR-IQA モデルが提案された攻撃方法に対して脆弱であることが明らかになりました。
また、生成された摂動は転送できないため、異種の IQA モデルの特殊性の調査に使用できます。

要約(オリジナル)

The goal of No-Reference Image Quality Assessment (NR-IQA) is to predict the perceptual quality of an image in line with its subjective evaluation. To put the NR-IQA models into practice, it is essential to study their potential loopholes for model refinement. This paper makes the first attempt to explore the black-box adversarial attacks on NR-IQA models. Specifically, we first formulate the attack problem as maximizing the deviation between the estimated quality scores of original and perturbed images, while restricting the perturbed image distortions for visual quality preservation. Under such formulation, we then design a Bi-directional loss function to mislead the estimated quality scores of adversarial examples towards an opposite direction with maximum deviation. On this basis, we finally develop an efficient and effective black-box attack method against NR-IQA models. Extensive experiments reveal that all the evaluated NR-IQA models are vulnerable to the proposed attack method. And the generated perturbations are not transferable, enabling them to serve the investigation of specialities of disparate IQA models.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google