[论文阅读] 2018-BMVC-Robust Adversarial Perturbation on Deep Proposal-based Models

2018-BMVC-Robust Adversarial Perturbation on Deep Proposal-based Models

[toc]

摘要

基于深度学习的算法，在计算机视觉领域，获得了非常不错的表现
- 包括图片分类，目标检测，语义分割
然而，最近研究表明，基于CNN的算法容易受到对抗样本的攻击
- 人类无法分辨，但可以欺骗分类器
与图片分类不同，语义分割和目标检测上的对抗攻击更加困难
- 不仅需要影响类别标签，还需要影响目标位置及大小
- 已有工作（ICCV-17）主要通过设计特定的损失函数，来影响最终类别
- 而且，这些工作是建立在白盒攻击的前提下
本文提出了RAP（Robust Adversarial Perturbation）方法，来攻击基于选区的目标检测与语义分割算法
- 算法基础：多数目标检测以及语义分割算法均是基于RPN来提取目标候选框，即Proposals
- 攻击原理：如果RPN被攻击成功，那么就会生成错误的候选框，随后的目标检测和语义分割都会受影响
RAP原理图
- image-20191124211556609.png
- 两个损失函数
  - Label loss（ICCV-17工作）
  - Shape loss（本文工作）：攻击RPN网络中的shape regression环节
- RAP专注于攻击RPN网络，而不是整个神经网络

Deep proposal-based models
- 遵循两步框架：候选框生成与候选框优化
Region Proposal Network（RPN）
- 是一种基于CNN的目标候选框生成算法
- 开始由人工为特征图上的每个格子指定固定大小多尺寸的anchor boxes
- 训练阶段，用这些anchor boxes与真实位置进行匹配，大于给定阈值的被设置为positive example，否则negative example
- 测试阶段，生成所有anchor boxes的label和offset
- 与selective search方法相比，RPN更加有效和准确
Adversarial perturbation
- 用于生成噪音，来欺骗神经网络分类器
- Lu尝试生成对抗样本来干扰stop，欺骗识别器
- Xie提出了稠密对抗生成DAG算法，迭代欺骗分类器