论文地址: https://arxiv.org/abs/2003.09595v1
项目地址: https://github.com/MasterBin-IIAU/CSA.
动机
- 对抗攻击测试能更好的了解深度学习的工作原理,为后续改进提供意见支持;
- 目前少有针对跟踪器的攻击测试
- 目标:生成一个肉眼不可见的噪声生成器,达到在跟踪过程中降低前景/背景分类置信度,缩小定位框大小的目的
创新点(贡献)
- 提出一种cooling-shrinking攻击方式。通过设计cooling和shrinking两个损失函数训练得到的噪声发生器,达到在跟踪过程中降低分类置信度,缩小定位框的目的。并在OTB100,VOT2018,LaSOT数据库上取得了良好的攻击效果。(被攻击的跟踪器是SiamRPN++)
- 证明利用GAN方法同时对判别器进行训练是没有必要的,仅使用L2损失函数度量噪声图片和真图片的相似度以及cooling-shrinking损失函数已经足够
- 该攻击方式具有良好的可移植性。实验证明该噪声发生器(只在SiamRPN++上训练过,不在其他跟踪器上微调)对DaSIamRPN和DiMP也有攻击效果
主要方法
整体流程
- 跟踪器的参数是冻结的
- 目的是训练得到一个噪音生成器,在尽可能小的改变图像的同时,最大化攻击效果
- 噪声发生器和原图组合产生新的图像
Cooling-Shrinking 损失函数
- 三个裕度的设置是为了避免cooling-shrinking损失函数无限制减小,均设置为-5
- 目的在于让干扰(攻击)后前景/背景的置信度尽可能接近(区分度低);预测框大小尽可能的小
- 因为在SiamRPN++算法中BB的回归计算需要用分类置信度作为依托,所以需要输入干净的搜索图片,如果用噪音干扰的图片无法判断造成干扰的是置信图还是回归向量
- 为了方便计算将三维张量重新排列为二维张量
算法细节
- 噪声发生器采用U-Net,因为其更适应像素级别任务
- 对于模板图像干扰,输入图像尺寸限定为128128;对于搜素图像干扰,输入图像尺寸限定为512512。对于尺寸不达标的输入,采用Padding,裁剪&#