Leveraging Local Patch Differences in Multi-Object Scenes for Generative Adversarial Attacks

要約

画像分類器に対する最先端の生成モデルベースの攻撃は、圧倒的に単一オブジェクト (つまり、単一の支配的なオブジェクト) の画像に焦点を当てています。
このような設定とは異なり、マルチオブジェクト (つまり、複数の支配的なオブジェクト) の画像を使用して敵対的摂動を生成するというより実用的な問題に取り組みます。
私たちの目標は、そのような画像に固有に発生するローカル パッチの違いを利用して、そのような自然のシーンから学習できる攻撃戦略を設計することです (たとえば、交通シーンのオブジェクト「人」とオブジェクト「自転車」のローカル パッチの違い)。
）。
私たちの重要なアイデアは、敵対的な複数オブジェクトの画像を誤分類するには、画像内の各ローカル パッチが被害者分類子を混乱させることです。
これに基づいて、摂動ジェネレーターを最適化するために、マルチオブジェクト シーンの特徴空間における前述の局所差分を新規の対照損失関数が使用する、新規生成攻撃 (ローカル パッチ差分または LPD 攻撃と呼ばれる) を提案します。
さまざまな被害者畳み込みニューラル ネットワークでのさまざまな実験を通じて、さまざまなホワイト ボックスおよびブラック ボックス設定で評価した場合、私たちのアプローチが高度に伝達可能な摂動を伴うベースライン生成攻撃よりも優れていることを示します。

要約(オリジナル)

State-of-the-art generative model-based attacks against image classifiers overwhelmingly focus on single-object (i.e., single dominant object) images. Different from such settings, we tackle a more practical problem of generating adversarial perturbations using multi-object (i.e., multiple dominant objects) images as they are representative of most real-world scenes. Our goal is to design an attack strategy that can learn from such natural scenes by leveraging the local patch differences that occur inherently in such images (e.g. difference between the local patch on the object `person’ and the object `bike’ in a traffic scene). Our key idea is: to misclassify an adversarial multi-object image, each local patch in the image should confuse the victim classifier. Based on this, we propose a novel generative attack (called Local Patch Difference or LPD-Attack) where a novel contrastive loss function uses the aforesaid local differences in feature space of multi-object scenes to optimize the perturbation generator. Through various experiments across diverse victim convolutional neural networks, we show that our approach outperforms baseline generative attacks with highly transferable perturbations when evaluated under different white-box and black-box settings.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google