对抗样本(论文解读九):Making an Invisibility Cloak Real World Adversarial Attacks on Object

Making an Invisibility Cloak Real World Adversarial Attacks on Object

Zuxuan Wu Facebook AI University of Maryland
Ser-Nam Lim Facebook AI
Larry Davis University of Maryland
Tom Goldstein Facebook AI University of Maryland

论文公开于2019.10.31

Abstract

攻击通用的检测器及集成检测器。测试了对抗块在白盒和黑盒设置下的有效性，以及在不同数据集、目标类别和检测器模型之间的可转移性。最后，我们使用打印的海报和可穿戴的衣服对物理世界攻击进行了详细的研究，并使用不同的度量标准严格地量化了这些攻击的性能。(表较笼统)

1.Introduction
对抗样本—数字世界—物理世界(不同镜头、分辨率、光照、距离及角度)

一系列的物理攻击通常局限于数字空间。进一步的，许多物理攻击的研究虽然取得了成功，但是没有量化攻击的成功率，以及训练过程及环境是如何影响其有效性的。最后，物理攻击通常定义于固定打印板、并无考虑复杂扭曲等：如3d的人、飞机和车等。

在本文中，我们研究艺术和科学的物理攻击探测器，最终目标是生产可穿戴纺织品。我们的研究目标如下：
我们聚焦于强有力的检测器，不同于分类器，其一张图象输出一个特征向量。检测器输出一个特征图，包含不同先验对应不同目标。attacks must simultaneously manipulate hundreds or thousands of priors operating at different positions, scales, and aspect ratios。

我们打破了从数字化模拟再到现实世界来实现攻击的渐进过程。我们探讨了现实世界中的扰动变量是如何造成数字和物理攻击的差异的，以及通过实验量化和识别这些差异。

我们量化了不同条件下的攻击成功率，并测量了算法和模型对于其的影响。我们研究了攻击如何降低标准度量(AP)，以及更多可解释的成功/失败度量。

我们通过制造可穿的对抗服装，以及量化在复杂的织物变形情况下攻击的成功率，将物理攻击推到其极限。

2.Related Work
Attacks on object detection and semantic segmentation. a plethora of work 于图像分类，较少的工作位于目标检测及语义分割。对于数字攻击工作的罗列。 Note that all of these studies focus on digital (as opposed to physical) attacks with a specific detector. In this paper, we systematically