[Summary] CamoPatch: An Evolutionary Strategy for Generating Camouflaged Adversarial Patches

[embed]CamoPatch: An Evolutionary Strategy for Generating Camoflauged... Deep neural networks (DNNs) have demonstrated vulnerabilities to adversarial examples, which raises concerns about…openreview.net

0. Contents

1. Introduction
2. Methods
3. Experiments
4. Conclusion

1. Introduction

위장 능력을 향상시킨 패치를 제안한다

• 핵심 아이디어로 Mimum-Norm Attack을 제안한다.

패치와 원본 이미지 간 loss를 최소화 시키는 방법이다.

2. Methods

2.1 Problem Formulation

• 이미지의 내용을 유지하기 위해 수정될 픽셀 수를 제한한다.
• 원본 이미지와 패치 간 요사하도록 설계한다. 이는 최소 표준 설정과 유사한, 제한된 최적화 문제로 접근한다.

2.2 Patch Initialization & Optimization

2.2.1 Patch Initialization

Evolutionary strategies(진화 전략)에서 착안한 아이디어로, 검정색 이미지에 N 개의 원을 겹쳐 패치를 생성한다.

• Semi-transparent, RGB valued shape, circular shape을 사용한다.

N 개의 원형 모형의 합성을 통해 패치를 생성한다.

• 각 모양은 7개의 요소 (정규화, 초기 샘플링, 무작위 초기 위치, 중심 좌표, 반경, RGB 값, 원의 투명도)를 고려한다.

2.2.2 Patch Optimization

N개의 원의 모양을 수정한다

• Evolutionary strategy : (1+1)-ES
• 현재 값에 약간의 변화를 줘 긍정적인 반응을 보이는 변화를 채택한다.

2.3 Location Optimization (Minimize L2 Norm)

• 기존 최적의 위치를 찾는 방법으로 random search를 사용했지만 local minimum에 빠지는 한계점이 존재했다.
• 해당 location optimizatio에서는 Simulated Annealing 기법을 사용한다.

1. 이미지에 패치를 적용할 위치를 균등하게 샘플링한다.
2. 패치를 해당 위치에 부착한다.
3. 부착된 패치의 결과를 손실함수로 평가한다. (L2–norm이 낮은 값을 취한다.)

3.1 해당 확률에 따라 l2-norm이 낮지 않을 때 해를 취한다. (d는 현재 값과 새로운 값의 loss 차이, t curr = t/k로 t는 미리 정의된 매개변수이며 k는 반복 횟수로 지수적으로 감소한다.)

3.2 t를 점진적으로 감소시켜 최대 반복 횟수에 도달하거나 t가 최소값에 도달 할 경우 알고리즘이 종료된다.

3. Experiments

4. Conclusion

Contribution

• 오분류를 유발하고 원본 이미지의 커버 영역을 근사화하도록 최적화한다.
• 위치 최적화를 위해 simulated annealing 알고리즘을 사용한다.
• m대상 이미지에 대한 시각적 영향을 최소화한다.
• Camouflagued 능력이 향상되었다.

Limitations

• 공격자가 대상 네트워크에 대한 접근이 가능 해야한다. (White-box)
• 패치를 생성하기 위한 query가 너무 많다.
• grid search를 진행하기 때문에 많은 시간이 소요된다.