Out-of-Bounding-Box Triggers: A Stealthy Approach to Cheat Object Detectors

📄 arXiv: 2410.10091v1 📥 PDF

作者: Tao Lin, Lijia Yu, Gaojie Jin, Renjue Li, Peng Wu, Lijun Zhang

分类: cs.CV

发布日期: 2024-10-14

备注: ECCV 2024

🔗 代码/项目: GITHUB

💡 一句话要点

提出一种隐蔽的越界触发器攻击，提升目标检测器的对抗鲁棒性

🎯 匹配领域: 支柱一：机器人控制 (Robot Control)

关键词: 对抗攻击 目标检测 越界触发器 特征引导 Auto-PGD 对抗鲁棒性 深度学习安全

📋 核心要点

  1. 传统对抗攻击通过直接修改物体表面实现，但易被察觉，限制了实际应用。
  2. 论文提出一种新的对抗触发器，位于目标边界框之外，实现隐蔽攻击，降低被发现的风险。
  3. 通过特征引导和通用Auto-PGD优化策略，提升触发器的攻击效果，并在数字和物理环境中验证有效性。

📝 摘要（中文）

近年来，目标检测系统（特别是基于深度神经网络的系统）的对抗鲁棒性研究已成为一个关键领域。传统的物理攻击，如对抗补丁和纹理操作，直接操纵物体表面。虽然这些方法有效，但对物体的明显操纵可能会在实际应用中引起注意。为了解决这个问题，本文提出了一种更微妙的方法：一种不显眼的对抗触发器，它在边界框之外操作，使目标对模型不可检测。我们通过提出特征引导（FG）技术和通用Auto-PGD（UAPGD）优化策略来制作高质量的触发器，从而进一步增强了这种方法。通过广泛的经验测试验证了我们方法的有效性，证明了其在数字和物理环境中的高性能。

🔬 方法详解

问题定义：现有针对目标检测器的对抗攻击，如对抗补丁，通常直接修改目标物体本身，容易被人类视觉系统或防御机制检测到。这限制了这些攻击在实际场景中的应用，因为攻击者需要一种更隐蔽的方式来欺骗目标检测器。

核心思路：论文的核心思路是在目标物体的边界框之外引入一个小的、不显眼的触发器。这个触发器经过精心设计，可以影响目标检测器的特征提取过程，从而导致目标物体无法被正确检测到。由于触发器位于边界框之外，因此更难被发现，从而实现了更隐蔽的攻击。

技术框架：该方法主要包含两个关键模块：触发器生成和攻击实施。触发器生成阶段使用特征引导（FG）技术和通用Auto-PGD（UAPGD）优化策略来生成高质量的触发器。特征引导利用目标检测器的中间层特征来指导触发器的生成，使其能够更有效地干扰检测过程。UAPGD是一种优化的对抗样本生成算法，用于找到能够最大化攻击效果的触发器。攻击实施阶段将生成的触发器放置在目标物体的边界框之外，然后将修改后的图像输入到目标检测器中。

关键创新：该方法的关键创新在于提出了越界触发器的概念，以及结合特征引导和通用Auto-PGD优化策略来生成高质量的触发器。与传统的对抗攻击方法相比，该方法更加隐蔽，并且能够有效地欺骗目标检测器。

关键设计：特征引导（FG）技术通过计算触发器区域和目标区域的特征相似度，并将其作为损失函数的一部分，来引导触发器的生成。通用Auto-PGD（UAPGD）优化策略使用一种自适应的步长调整机制，来加速对抗样本的生成过程。论文还详细描述了在数字和物理环境中实施攻击的具体步骤和参数设置。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果表明，该方法在数字和物理环境中均能有效欺骗目标检测器，使其无法检测到目标物体。与传统的对抗攻击方法相比，该方法具有更高的隐蔽性，并且能够达到相似甚至更高的攻击成功率。具体性能数据在论文中详细展示，并与多种基线方法进行了对比。

🎯 应用场景

该研究成果可应用于评估和提升目标检测系统的安全性，尤其是在自动驾驶、智能监控等对安全性要求高的领域。通过模拟这种隐蔽的攻击方式，可以帮助研究人员发现目标检测系统中的潜在漏洞，并开发更有效的防御机制，从而提高系统的鲁棒性和可靠性。此外，该技术也可用于评估现有的对抗防御方法的有效性。

📄 摘要（原文）

In recent years, the study of adversarial robustness in object detection systems, particularly those based on deep neural networks (DNNs), has become a pivotal area of research. Traditional physical attacks targeting object detectors, such as adversarial patches and texture manipulations, directly manipulate the surface of the object. While these methods are effective, their overt manipulation of objects may draw attention in real-world applications. To address this, this paper introduces a more subtle approach: an inconspicuous adversarial trigger that operates outside the bounding boxes, rendering the object undetectable to the model. We further enhance this approach by proposing the Feature Guidance (FG) technique and the Universal Auto-PGD (UAPGD) optimization strategy for crafting high-quality triggers. The effectiveness of our method is validated through extensive empirical testing, demonstrating its high performance in both digital and physical environments. The code and video will be available at: https://github.com/linToTao/Out-of-bbox-attack.