对抗样本和对抗训练

[论文阅读] 2018-BMVC-Robust Adversar

2019-12-03 本文已影响0人带刺的小河豚

2018-BMVC-Robust Adversarial Perturbation on Deep Proposal-based Models

[toc]

摘要

对抗噪音对于探索那些基于计算机视觉算法的深度学习脆弱性很有帮助
本文描述了一种鲁棒性干扰（RAP），来攻击目标检测框架
- 攻击目标检测与语义分割共同的组成部分RPN（Region Proposal Network）
- 黑盒攻击
- 设计了一种损失函数，包含标签损失和轮廓损失
- 在MS COCO 2014数据集上测试
- 6中目标检测算法，2中语义分割算法

1. Introduction

基于深度学习的算法，在计算机视觉领域，获得了非常不错的表现
- 包括图片分类，目标检测，语义分割
然而，最近研究表明，基于CNN的算法容易受到对抗样本的攻击
- 人类无法分辨，但可以欺骗分类器
与图片分类不同，语义分割和目标检测上的对抗攻击更加困难
- 不仅需要影响类别标签，还需要影响目标位置及大小
- 已有工作（ICCV-17）主要通过设计特定的损失函数，来影响最终类别
- 而且，这些工作是建立在白盒攻击的前提下
本文提出了RAP（Robust Adversarial Perturbation）方法，来攻击基于选区的目标检测与语义分割算法
- 算法基础：多数目标检测以及语义分割算法均是基于RPN来提取目标候选框，即Proposals
- 攻击原理：如果RPN被攻击成功，那么就会生成错误的候选框，随后的目标检测和语义分割都会受影响
RAP原理图
- image-20191124211556609.png
- 两个损失函数
  - Label loss（ICCV-17工作）
  - Shape loss（本文工作）：攻击RPN网络中的shape regression环节
- RAP专注于攻击RPN网络，而不是整个神经网络

2. Related Work

Deep proposal-based models
- 遵循两步框架：候选框生成与候选框优化
Region Proposal Network（RPN）
- 是一种基于CNN的目标候选框生成算法
- 开始由人工为特征图上的每个格子指定固定大小多尺寸的anchor boxes
- 训练阶段，用这些anchor boxes与真实位置进行匹配，大于给定阈值的被设置为positive example，否则negative example
- 测试阶段，生成所有anchor boxes的label和offset
- 与selective search方法相比，RPN更加有效和准确
Adversarial perturbation
- 用于生成噪音，来欺骗神经网络分类器
- Lu尝试生成对抗样本来干扰stop，欺骗识别器
- Xie提出了稠密对抗生成DAG算法，迭代欺骗分类器

3. Method

原理图
- image-20191124214707928.png
原理
- 给定输入图片、预训练好的RPN
- 设计目标函数：Label loss + Shape loss
- 使用梯度迭代算法，计算扰动

3.1 Notation and Problem Formulation

Notation
- $\mathcal{I}$ ：输入图片，包含n个真实bounding boxes
- $\{\bar b_i=(\bar x_i, \bar y_, \bar w_i, \bar h_i)\}^n_{i=1}$ ：bounding boxes集合
- ：模型参数为的RPN网络
  - ：输入图像生成的m个候选区域
    - $s_j$ ：第j个候选区域的置信度
    - ：第j个候选区域的bounding box
      - $b_j=(x_j,y_j,w_j,h_j)$
- ：标签损失函数
  - - $z_j=1, if\exist i,IoU(\bar b_i, b_j)\gt u_1 and s_j\gt u_2$
- ：轮廓损失函数
  - $L_{shape}(\mathcal{I};\mathcal{F}_\theta)=\sum^m_{j=1}z_j((\Delta x_j-\tau_x)^2+(\Delta y_j-\tau_y)^2+(\Delta w_j-\tau_w)^2+(\Delta h_j-\tau_h)^2)$
目标Goal
- 找到一个扰动量，叠加到输入图片上，让RPN失效
- 该问题可以看作对于特定设计的损失函数上的优化问题
- PSNR（Peak Signal-to-Noise Ratio），越小的扰动导致越高的PSNR
- $\min_{\mathcal{I}}L_{label}(\mathcal{I};\mathcal{F}_\theta)+L_{shape}(\mathcal{I};\mathcal{F}_\theta)$ ：目标函数
- $PSNR(\mathcal{I})\ge\epsilon$ ：约束条件
假设与前提
- RPN模型参数 $\theta$ 是固定的

4. Experimental Results

4.1 Dataset

MS COCO 2014数据集
- 包含80两个目标类别
- 实验采用随机选取3000张图片
- 使用mAP指标，IoU设置为0.5与0.7

4.2 R-AP Settings

五种不同RPN架构
- VGG16, mn(mobilenet), ResNet50, ResNet101, ResNet152
Adversarial Perturbations
- p1, p2, p3, p4, p5
目标检测网络
- Faster-RCNN
Baseline
- Gaussian noise

4.3 Object Detection

检测网络
- FR-v16, FR-mn, FR-rn50, FR-rn101, FR-rn152, RFCN

上一篇下一篇

猜你喜欢

热点阅读