Rogue Signs: Deceiving Traffic Sign Recognition with Malicious Ads and Logos

最新推荐文章于 2022-05-13 15:15:05 发布

原创

最新推荐文章于 2022-05-13 15:15:05 发布 · 1k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#计算机视觉 #人工智能 #python

本文提出了针对交通标志识别系统的现实世界攻击方法，称为标志嵌入攻击。这种方法通过修改无害标志使其被误分类为交通标志，且在虚拟和现实环境中均展现出高成功率。攻击管道包括检测、分类和对抗样本生成步骤，其中优化问题确保了物理稳健性和视觉隐蔽性。在虚拟环境中，攻击成功率高达99.07%，并且在考虑图像捕获噪声后的成功率仍达到95.50%。此外，作者还探讨了两种攻击方式：标志攻击和自定义标志攻击。实验结果显示，该方法优于传统的Carlini-Wagner攻击，具有更低的劣化率。

作者： 19届 lz

论文：《Rogue Signs: Deceiving Traffic Sign Recognition with Malicious Ads and Logos》

问题

对虚拟系统的攻击并不能直接转化为现实世界。这是因为为生成虚拟对抗样本而解决的优化问题没有考虑到变化的物理条件，这些物理条件可能包括亮度、方向和距离变化、相机伪影、阴影、反射和图像大小调整造成的细节损失。

贡献:

1）我们提出了一种新的现实世界对交通标志识别系统的攻击：标志嵌入攻击修改了无害的标志，使其被归类为交通标志。我们的攻击管道创建了对抗性示例，即使在现实环境中也很有效。
2）我们提出并检查了一个端到端的管道，用于创建能够欺骗标志识别系统的对抗样本，并且对图像捕获阶段可能发生的图像噪声转换具有弹性。
3) 我们对各种参数集的物理和虚拟设置的攻击进行了广泛的评估。在虚拟环境中，我们的攻击在测试时没有随机图像变换的成功率为 99.07%，而使用随机图像变换的成功率为 95.50%。

相关工作

威胁模型： 我们考虑了常用的白盒威胁模型，用于生成针对深度神经网络的对抗性示例。在白盒设置中，我们假设对手可以完全访问交通标志识别模型，包括其架构和权重。此外，我们专注于创建有针对性的对抗样本，因为这些样本与旨在错误分类交通标志的对手更相关。
虚拟对抗样本: 为了从分类器 f 的良性样本 x 开始生成有针对性的对抗样本 x，以下为最新的导致成功的最优化问题：