深層学習モデルは、敵対的な例に対して脆弱です。実用的な深層学習システムのより脅威的なタイプとして、物理的な敵対的な例は、近年、広範な研究の注目を集めています。ただし、既存の作品は、モデルにとらわれないパターンや人間固有のパターンなどの固有の特性を利用せずに、物理的な世界で弱い敵対的摂動を生成します。これは、さまざまなモデル間での攻撃には及ばず、視覚的に疑わしい外観を示します。注意が認識プロセスの固有の特性を反映するという観点に動機付けられて、本論文は、モデルと人間の注意の両方を抑制することにより、強い伝達性を備えた視覚的に自然な物理的敵対カモフラージュを生成する二重注意抑制(DAS)攻撃を提案します。攻撃に関しては、モデルが共有する同様の注意パターンをターゲット領域から非ターゲット領域にそらすことにより、転送可能な敵対的カモフラージュを生成します。一方、人間の視覚的注意は常に顕著なアイテム(疑わしい歪みなど)に焦点を当てているという事実に基づいて、シナリオのコンテキストに相関する視覚的に自然なカモフラージュを生成するために、人間固有のボトムアップの注意を回避します。最新のモデル(Yolo-V5など)での分類および検出タスクについて、デジタルと物理の両方の世界で広範な実験を実施し、私たちの方法が最先端の方法よりも優れていることを大幅に実証しています。
Deep learning models are vulnerable to adversarial examples. As a more threatening type for practical deep learning systems, physical adversarial examples have received extensive research attention in recent years. However, without exploiting the intrinsic characteristics such as model-agnostic and human-specific patterns, existing works generate weak adversarial perturbations in the physical world, which fall short of attacking across different models and show visually suspicious appearance. Motivated by the viewpoint that attention reflects the intrinsic characteristics of the recognition process, this paper proposes the Dual Attention Suppression (DAS) attack to generate visually-natural physical adversarial camouflages with strong transferability by suppressing both model and human attention. As for attacking, we generate transferable adversarial camouflages by distracting the model-shared similar attention patterns from the target to non-target regions. Meanwhile, based on the fact that human visual attention always focuses on salient items (e.g., suspicious distortions), we evade the human-specific bottom-up attention to generate visually-natural camouflages which are correlated to the scenario context. We conduct extensive experiments in both the digital and physical world for classification and detection tasks on up-to-date models (e.g., Yolo-V5) and significantly demonstrate that our method outperforms state-of-the-art methods.