2025-11-12T14:07:10.510276

Structured Universal Adversarial Attacks on Object Detection for Video Sequences

Jacob, Shao, Kasneci

Video-based object detection plays a vital role in safety-critical applications. While deep learning-based object detectors have achieved impressive performance, they remain vulnerable to adversarial attacks, particularly those involving universal perturbations. In this work, we propose a minimally distorted universal adversarial attack tailored for video object detection, which leverages nuclear norm regularization to promote structured perturbations concentrated in the background. To optimize this formulation efficiently, we employ an adaptive, optimistic exponentiated gradient method that enhances both scalability and convergence. Our results demonstrate that the proposed attack outperforms both low-rank projected gradient descent and Frank-Wolfe based attacks in effectiveness while maintaining high stealthiness. All code and data are publicly available at https://github.com/jsve96/AO-Exp-Attack.

academic

ビデオシーケンスにおける物体検出への構造化ユニバーサル対抗攻撃

基本情報

論文ID: 2510.14460
タイトル: Structured Universal Adversarial Attacks on Object Detection for Video Sequences
著者: Sven Jacob (BAuA & TUM)、Weijia Shao (BAuA)、Gjergji Kasneci (TUM)
分類: cs.CV (コンピュータビジョン)
発表日: 2025年10月16日 (arXiv プレプリント)
論文リンク: https://arxiv.org/abs/2510.14460v1

要約

ビデオ物体検出は安全関連アプリケーションにおいて重要な役割を果たしています。深層学習ベースの物体検出器は印象的な性能を達成していますが、特にユニバーサル摂動を伴う対抗攻撃に対して依然として脆弱です。本論文では、ビデオ物体検出に対する最小歪みユニバーサル対抗攻撃手法を提案し、核ノルム正則化を利用して背景領域に集中した構造化摂動を促進します。この定式化を効率的に最適化するため、適応的楽観指数勾配法を採用し、スケーラビリティと収束性を向上させます。実験結果は、提案された攻撃手法が低ランク投影勾配降下法およびFrank-Wolfe攻撃を上回る性能を示しながら、高い隠蔽性を維持することを示しています。

研究背景と動機

問題定義

本研究は、ビデオ物体検出システムに対する対抗攻撃の問題、特に安全関連アプリケーションシナリオにおける脆弱性に対処することを目的としています。

重要性分析

安全関連性: ビデオ物体検出は自動運転、産業安全監視、リアルタイム監視などの安全関連分野で広く応用されています
現実的脅威: 対抗攻撃は検出システムの機能停止を引き起こし、深刻な安全事故につながる可能性があります
ユニバーサル性の課題: ユニバーサル対抗摂動(UAP)は、フレーム間で転送可能であり、ターゲットモデルへの追加アクセスが不要であるため、より強い脅威性を持ちます

既存手法の限界

ノルム制約の制限: 既存手法は主にℓ2およびℓ∞ノルム制約の摂動に焦点を当てています
視覚的知覚可能性: ℓ1攻撃はビデオ内で移動物体上に可視的なパッチを生成し、隠蔽性を低下させます
時間的一貫性の欠如: 各フレームを独立に処理することはビデオデータの時間的コヒーレンスを無視しています

研究動機

ロバスト主成分分析と構造化対抗摂動手法に基づき、構造化されているが疑わしくない背景修正を利用してターゲット消失攻撃を実現する新しい戦略を提案します。

核心的貢献

新規攻撃定式化: 核ノルム正則化に基づく最小歪みユニバーサル攻撃定式化を提案し、ビデオフレーム間の直交空間パターンの構造化摂動を促進します
効率的な最適化アルゴリズム: 適応的楽観指数勾配降下法を適応させ、核ノルム制約下でのスケーラブルな最適化を実現します
包括的な実験評価: 公開ビデオデータセットと最先端のビデオ物体検出モデル上で総合的な評価を実施します
性能優位性: 既存の核ノルム攻撃手法と比較して、攻撃成功率と計算効率の両面で優れた性能を示します

方法の詳細

タスク定義

ビデオフレームシーケンス $\{x_b|1 \leq b \leq B\}$ が与えられたとき、目標は全フレームに適用された場合にターゲット検出器 $f$ を機能停止させることができるユニバーサル対抗摂動 $\delta$ を見つけることであり、同時に摂動の最小化と構造化を維持します。

モデルアーキテクチャ

損失関数設計

損失関数を前景と背景の損失に分解します: $L = L_{fg} + L_{bg}$

ここで:

前景損失: $L_{fg} = \frac{1}{|F|}\sum_{i \in F} CE(p_i, y_i)$
背景損失: $L_{bg} = \frac{1}{|B|}\sum_{i \in B} CE(p_i, y_i)$
信頼度損失: $L_{conf} = \sum_{i \in [S]} \xi_i \cdot \mathbf{1}(\xi_i > \tau)$

総損失は: $L_{total} = \alpha L_{fg} + \gamma L_{conf} + \beta L_{bg}$

正則化設計

Frobenius ノルムと核ノルムの組み合わせを採用します: $R(\delta) = \lambda_1 ||\delta||_* + \lambda_2 ||\delta||_F$

最適化目標

ユニバーサル攻撃の完全な最適化問題: $\min_{\delta \in \mathbb{R}^{H \times W \times C}} -\frac{1}{B}\sum_{b=1}^{B} L_{total}(f(x_b + \delta), f(x_b)) + \sum_{c=1}^{C}(\lambda_1||\delta_c||_* + \frac{\lambda_2}{2}||\delta_c||_F^2)$

AO-Exp アルゴリズム

核心思想

適応的楽観指数勾配法を採用し、SVD分解を通じて決定変数を維持します: $\delta_c^t = U_{c,t} \text{diag}(z_c^t) V_{c,t}^T$

アルゴリズムステップ

楽観的更新: $\eta_c^t \leftarrow \eta_c^{t-1} + \frac{t^2}{||\nabla G(\delta_c^t) - \nabla G(\delta_c^{t-1})||_\infty^2}$
特異値更新: $z_{c,i}^{t+1} = \frac{\eta_c^t}{\lambda_2} W_0\left(\frac{\lambda_2}{\eta_c^t} \exp\left(\frac{\lambda_2 + \max\{\theta_{c,i}^t - \lambda_1, 0\}}{\eta_t}\right)\right) - 1$
摂動再構成: $\delta_c^{t+1} = \frac{2}{t(t+1)} \sum_{s=1}^{t} s \cdot U_{c,t} \text{diag}(z_{s,1:k}^c) V_{c,t}^T$

技術的革新点

構造化背景摂動: 核ノルム正則化を通じて低ランク構造を促進し、背景領域に集中させます
時間的一貫性: ユニバーサル摂動はフレーム間の時間的一貫性を確保します
効率的な最適化: AO-Exp法は核ノルム制約下での高速収束を実現します
低ランク適応: top-k特異値を選択することで情報をさらに圧縮します

実験設定

データセット

PETS 2009 S2L1: 7シーン、768×576解像度、平均795フレーム/シーン
EPFL-RLC: 3シーン、1920×1080解像度、平均5000フレーム/シーン
CW4C: 15シーン、1920×880解像度、平均7200フレーム/シーン

評価指標

IoU累積値 (IoUacc): シーケンス全体への攻撃の影響を評価
対抗バウンディングボックス比率 (advBR): 対抗サンプルとクリーンサンプルのバウンディングボックス数の比
平均絶対摂動 (MAP): 知覚性を測定
核ノルム $||\delta||_*$ : 摂動の構造化程度を評価

比較手法

LoRa-PGD: 低ランク投影勾配降下攻撃
FW-Nucl: Frank-Wolfe核ノルムグループ攻撃
AO-Exp変種: 低ランク適応版を含む

実装詳細

イテレーション数: 100回(AO-ExpおよびLoRa-PGD)、30回(FW-Nucl)
正則化パラメータ: データセットに応じてλ1およびλ2を調整
ターゲットモデル: Mask R-CNN

実験結果

主要結果

データセット	手法	IoUacc(↓)	advBR(↓)	MAP(↓)	$\\|\\|\delta\\|\\|_*$ (↓)
PETS2009	FW-Nucl	4.77±1.09	1.04±0.25	1.2±0.3	36.5±5.84
	LoRa-PGD-100	1.22±0.91	0.63±0.42	4.0±0.3	60.3±10.3
	AO-Exp	0.29±0.27	0.06±0.04	2.9±0.1	41.3±16.6
EPFL-RLC	FW-Nucl	4.83±0.96	0.86±0.14	5.4±2.0	37.54±1.53
	LoRa-PGD-100	0.20±0.06	0.37±0.11	14.0±3.0	43.5±4.3
	AO-Exp	0.9±0.37	0.22±0.07	6.0±4.0	27.52±15.8