【论文阅读】Dynamic Adversarial Patch for Evading Object Detection Models

一、介绍

这篇文章主要是针对目标检测框架的攻击，不同于现有的攻击方法，该论文主要的侧重点是考虑视角的变化问题，通过在车上布置多个显示器，利用视角动态选择哪一个显示器播放攻击内容，通过这种方法达到隐蔽与攻击的兼顾。

二、方法

文章的威胁模型假定攻击者对被攻击的模型有完全的了解，即白盒攻击。攻击分为两种情况：物体静止相机移动和物体移动相机静止。理想情况应该是有一个外部设备来实时确定被攻击者与攻击者的位置关系，但是这里为了简化实验，选择的是由实验者控制相机和攻击车辆的位置关系。

攻击的方法依然遵循原来的套路，采用叠加扰动并使模型性能下降的方法。这里选择的被攻击模型是YOLOV2，训练时手动标记显示器的位置并叠加图像，为了考虑到现实场景下的变化，作者在叠加图像的过程中随机给图像增加了亮度和对比度上的调整。

损失函数部分，考虑到目标检测模型实际上存在两个关键的指标：包围框和类别。这里作者设计了三种损失项：类别、物体以及交叉项。类别是只考虑类别损失，增大预测的类别与真实值之间的差异，同时作者还增加了一个语义类别，简单来说就是尽量不让车被误识别为自行车、卡车，而是被误识别为道路、树木等杂七杂八的东西。

物体项则是尽量降低目标检测结果的“置信度”这一项指标，当置信度过低时模型会认为该物体是错误的，从而直接过滤掉这一物体。

除此之外，作者也引入了平滑度的项，用于优化攻击的内容，减小瞩目性。

作者并没有使用显示器的NPS损失，最后的优化函数只包含两个损失项：