Adversarial patch camouflage against aerial detection

Adversarial Patch Camouflage against Aerial Detection

[Adversarial Patch Camouflage against Aerial Detection](Adversarial Patch Camouflage against Aerial Detection)

关键字：Adversarial patch attack aerial target detection camouflage drone surveillance

针对大型军事目标如何采取对抗补丁的方式对其进行隐藏。

1. Introduction

图1 The potential of automatic detection algorithms in aerial data analysis

以无人机侦察为例进行说明：一般是通过无人机携带的摄像机器对地面目标进行识别，首先是从大量的图片中识别目标，这一过程如上第一步所示，可实现机器自动化，然后在此基础上将一些可能/不确定的结果再进一步让人工来判断，从而降低全人工判断的工作量。这样，可对上述的第一步工作做文章。

图 2 使用迷彩网和补丁进行隐藏目标示意

对于地面的军用设施，对其隐藏的挑战在于如何避免被空军侦察设备发现。通常是使用迷彩网对其进行隐藏，但是这种方式的一方面很难快速实施，另一方面即使用了迷彩网对其进行隐藏，其外轮廓也是具有较高辨识度的。

在图1中可以看出，在这个流程中对目标进行隐藏还可以对第一步进行操作，即使得目标不能被detectors检测到。这样，既然目标都不会被目标检测到，自然也就不会进一步传给persons进行确认，从而实现“隐藏”。本文的工作基于图2(b)的模式，即通过生成补丁，将其放置在目标上或接近目标，从而使得目标不会被检测器探测到。

本文攻击的目标检测器同样是YOLO。通过patch attack可躲避目标YOLO的检测，通过对patch的尺寸、位置和颜色的影响进行了研究。

2. Related work

本节对real-world的一些常用攻击方法进行了介绍，包括之前介绍的Fooling automated surveillance cameras: adversarial patches to attack person detectionpatch attack，以及受此启发的T-shirt attack.

有攻击就有防御，

• 通过检测图片中梯度异常的区域，并且通过对其进行平滑处理可实现一定的防御；
• 通过对交叉熵进行评价可找到图片中是否有补丁，虽然对其进行隐藏实现防御。

但是这些防御工作也是从目标分类上开展，并没有从目标检测角度开展。

3. Aerial Camouflage

本文的工作同样基于Fooling automated surveillance cameras: adversarial patches to attack person detection。

其训练过程如下所示：

图 3 训练过程

• 对一群包含飞机，且飞机上具有patch的图片进行训练，最开始的patch是随机生成的；
• 在将patch放置到图片上前，对图片进行了缩放（scale）、旋转（rotate），及添加噪声即改变对比度，这样使得使用场景更接近于真实场景；
• 同时，为了更逼近航拍图片，patch会随机的旋转360，这样带来的后果就是最终生成的patch多是圆对称的；
• 针对YOLOv2，因此YOLOv2参与训练时，其权重参数并不会改变（即保证了检测器是有效的）。

优化目标函数也是保持一致：
L = α L n p s + β L t v + L o b j L=\alpha L_{nps}+\beta L_{tv}+L_{obj} L=αLnps​+βLtv​+L