Djupa neurala nätverk (DNN) är kända för sin sårbarhet för kontradiktoriska exempel. Detta är exempel som har genomgått små, noggrant skapade störningar, och som lätt kan lura en DNN att göra felklassificeringar vid provtillfället. Hittills har området för kontradiktorisk forskning främst fokuserat på bildmodeller, under antingen en white-box inställning, där en motståndare har full tillgång till modellparametrar, eller en svart-box inställning där en motståndare bara kan fråga målmodellen för sannolikheter eller etiketter. Medan flera white-box attacker har föreslagits för videomodeller, svart-box video attacker är fortfarande outforskade. För att täppa till denna lucka föreslår vi det första ramverket för videoangrepp i svartbox, kallat V-BAD. V-BAD använder trevande perturbationer som överförs från bildmodeller och partitionsbaserade rättelser som hittats av NES för att få bra skattningar av den kontradiktoriska lutningen med färre frågor till målmodellen. V-BAD motsvarar uppskattningen av projektionen av den kontradiktoriska lutningen på en vald subrymd. Med hjälp av tre referensvideodata visar vi att V-BAD kan skapa både oriktade och riktade attacker för att lura två toppmoderna modeller för djup videoigenkänning. För den riktade attacken, det uppnår > 93% framgång med hjälp av endast ett genomsnitt av 3.4  på 8,4 × 10 4 frågor, ett liknande antal frågor till state-of-the-art Black-box bild attacker. Detta trots att videor ofta har två storleksordningar högre dimensionalitet än statiska bilder. Vi anser att V-BAD är ett lovande nytt verktyg för att utvärdera och förbättra robustheten hos videoigenkänningsmodeller till attacker mot svarta lådor. • Datametoder → Verksamhetsigenkänning och förståelse. Tillstånd att göra digitala eller papperskopior av hela eller delar av detta arbete för personligt bruk eller klassrum beviljas utan avgift, förutsatt att kopiorna inte görs eller distribueras för vinst eller kommersiella fördelar och att kopiorna är försedda med detta meddelande och den fullständiga hänvisningen på första sidan. Upphovsrätt till delar av detta verk som ägs av andra än ACM måste hedras. Abstraktering med kredit är tillåten. För att kopiera på annat sätt, eller återpublicera, för att posta på servrar eller för att omfördela till listor, krävs tidigare specifik behörighet och/eller avgift. Begär tillstånd från authoritys@acm.org.  NYCKELORD
Den första svart-box video attack metod föreslås i REF, där de använder ImageNet pretränade modeller för att generera en preliminär lutning för varje videoram och använda NES för att korrigera den.
Black-box Adversarial Attacks on Video Recognition Models
{'venue': "MM '19", 'journal': None, 'mag_field_of_study': ['Computer Science', 'Mathematics']}