敵対的なパッチは、制限された領域内の画像ピクセルを任意に操作して、モデルの誤分類を引き起こす可能性があります。攻撃者は被害者のオブジェクトにパッチを添付することで物理的に実現可能な攻撃を仕掛けることができるため、この局所的な攻撃の脅威は大きな注目を集めています。最近の確かに堅牢な防御は、一般に、小さな受容野と堅牢なモデル予測のための安全な特徴集約を備えたCNNを使用することにより、PatchGuardフレームワークに従います。このホワイトペーパーでは、PatchGuardをPatchGuard ++に拡張して、敵対的なパッチ攻撃を確実に検出し、証明可能な堅牢な精度とクリーンな精度の両方を向上させます。 PatchGuard ++では、最初に特徴抽出に小さな受容野を持つCNNを使用して、敵対的なパッチによって破損した特徴の数を制限します。次に、特徴空間にマスクを適用し、すべての可能なマスクされた特徴マップの予測を評価します。最後に、すべてのマスクされた予測からパターンを抽出して、敵対的なパッチ攻撃をキャッチします。 ImageNette(ImageNetの10クラスサブセット)、ImageNet、およびCIFAR-10でPatchGuard ++を評価し、PatchGuard ++が証明可能な堅牢性とクリーンなパフォーマンスを大幅に向上させることを示します。
An adversarial patch can arbitrarily manipulate image pixels within a restricted region to induce model misclassification. The threat of this localized attack has gained significant attention because the adversary can mount a physically-realizable attack by attaching patches to the victim object. Recent provably robust defenses generally follow the PatchGuard framework by using CNNs with small receptive fields and secure feature aggregation for robust model predictions. In this paper, we extend PatchGuard to PatchGuard++ for provably detecting the adversarial patch attack to boost both provable robust accuracy and clean accuracy. In PatchGuard++, we first use a CNN with small receptive fields for feature extraction so that the number of features corrupted by the adversarial patch is bounded. Next, we apply masks in the feature space and evaluate predictions on all possible masked feature maps. Finally, we extract a pattern from all masked predictions to catch the adversarial patch attack. We evaluate PatchGuard++ on ImageNette (a 10-class subset of ImageNet), ImageNet, and CIFAR-10 and demonstrate that PatchGuard++ significantly improves the provable robustness and clean performance.