Motgångar mot maskininlärningsmodeller har sett ett ökat intresse under de senaste åren. Genom att endast göra subtila förändringar i inmatningen av ett konvolutionellt neuralt nätverk, kan utgången av nätverket styras för att producera ett helt annat resultat. De första attackerna gjorde detta genom att ändra pixelvärden för en inmatningsbild något för att lura en klassificering för att mata ut fel klass. Andra metoder har försökt lära sig "patcher" som kan appliceras på ett objekt för att lura detektorer och klassificerare. Vissa av dessa metoder har också visat att dessa attacker är möjliga i verkligheten, dvs. genom att modifiera ett föremål och filma det med en videokamera. Alla dessa närmar sig dock målklasser som innehåller nästan ingen sort inom klassen (t.ex. stanna skyltarna). Den kända strukturen av objektet används sedan för att generera en kontradiktorisk patch ovanpå det. I detta dokument presenterar vi en strategi för att generera kontradiktoriska fläckar för mål med massor av intraklassisk variation, nämligen personer. Målet är att skapa en patch som framgångsrikt kan dölja en person från en persondetektor. En attack som till exempel kan användas illvilligt för att kringgå övervakningssystem, inkräktare kan smyga runt oupptäckta genom att hålla en liten kartongplatta framför sin kropp som syftar till övervakning kameran. Utifrån våra resultat kan vi se att vårt system avsevärt kan sänka noggrannheten hos en persondetektor. Vår strategi fungerar också bra i verkliga scenarier där lappen filmas av en kamera. Såvitt vi vet är vi de första som försöker sig på den här typen av angrepp mot mål med en hög nivå av intraklassisk variation som personer.
REF utvecklade en verklig kontradiktorisk patch som kan blockera persondetektering.
Fooling automated surveillance cameras: adversarial patches to attack person detection
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}