技術要約：コンピュータビジョン・アプリケーションに対する音響的敵対的攻撃

問題提起

自動制御やセキュリティなどの重要なタスクにコンピュータビジョン（CV）を利用する人工知能（AI）システムは、物理世界における敵対的攻撃に対してますます脆弱になっています。先行研究では、超音波（20 kHz超）がカメラのスタビライゼーション機構を妨害できることが確立されていますが、これらの攻撃は空気中での信号減衰が速いため、有効範囲が短距離に限定されるという課題があります。さらに、既存の文献では、可聴域（20 kHz未満）の可能性がほとんど見過ごされてきました。これらの低周波は波長が長く、障害物の周囲に回折し、より遠くまで伝播できるため、実世界の長距離攻撃においてより実行可能な可能性があります。本研究が取り組む核心的な問題は、可聴音響振動が市販のカメラハードウェアとどのように相互作用し、物体検出モデルを欺く物理的な歪みを誘発するかについての理解が不足していることです。

手法

著者らは、音響信号がカメラに機械的振動を誘発し、AIモデルによって処理される前にキャプチャされた画像を歪ませるという、物理的な攻撃パイプラインを提案しています。実験設定および手順は以下の通りです。

• ハードウェア構成: 本研究では、専用の画像スタビライゼーション・ハードウェアを備えていない市販デバイスである、Logitech C930e Business Webcamを使用しました。カメラは高忠実度のスピーカーに剛性を持って取り付けられ、直接的な機械的結合を確保しました。このセットアップにより、アクティブなスタビライゼーション・センサーがなくても、フローティングレンズのオートフォーカス・アセンブリや内部コンポーネントが音響共振の影響を受けやすいという仮説を検証しました。
• 信号生成: 音響波形は、Tektronix AFG3100任意波形発生器を使用して生成されました。研究者らは、機械的共振を引き起こすことが知られている低周波（0–200 Hz）を標的とし、5 Hzから30 kHzの可聴範囲内の正弦波に焦点を当てました。信号は8 Vppの固定振幅で送信されました。
• 実験プロトコル: カメラは、COCOデータセットの100枚の画像を表示するモニターを録画しました。3秒間の録画ウィンドウ中に、特定の共振周波数が連続的に放出されました。予備的な周波数スイープを実施し、目に見えるビデオの歪みを引き起こす「共振バンド」を特定しました。
• 検出および分析: キャプチャされた映像は、ワンステージ物体検出アーキテクチャであるYOLOv11を用いて処理されました。分析には以下が含まれます。
  • 前処理: ターゲット画像を分離するためにビデオフレームをクロップする。
  • 推論: YOLOv11を実行して、バウンディングボックスと信頼度スコアを生成する。
  • 指標抽出: 平均RGB値、ピクセル面積、検出信頼度、およびビデオ期間全体にわたる精度を算出する。
  • エラー分類: 失敗を、誤分類（Incorrect labels）、抑制（Suppression：既存の物体の検出失敗）、および偽陽性（Spurious Detection：誤検出/幻覚）の3つのタイプに分類する。

主な貢献

本研究は、焦点を超音波から可聴低周波音響攻撃へとシフトさせることで、敵対的機械学習の領域を拡張します。主な貢献は以下の通りです。

1. 周波数範囲の拡張: 従来の研究で使用されていた超音波と比較して優れた伝搬特性を持つ20 kHz未満の周波数を用いた音響攻撃の実行可能性を実証したこと。
2. ハードウェアに依存しない脆弱性: アクティブな画像スタビライゼーション・ハードウェアを持たないカメラであっても、物理的コンポーネント（レンズ・アセンブリ、センサーマウント）が共振可能であれば、物体検出モデルが脆弱であることを示したこと。
3. エラータイプの体系的な分析: 音響摂動がモデルの性能をどのように低下させるかを詳細に分類し、特に正しい検出から誤分類、抑制、および幻覚への移行を定量化したこと。
4. 実世界のシミュレーション: 静的なデジタルシミュレーションを超え、標準的なデータセットのライブビデオフィードを用いて、実世界の条件に近い動的なセットアップを利用したこと。

結果

実験の結果、低周波の音響摂動がYOLOv11物体検出モデルの性能を著しく低下させることが明らかになりました。

• 周波数依存の脆弱性: 2つの特定の周波数帯域（20–30 Hz および 155–180 Hz）が、一貫して最も深刻な劣化を引き起こしました。これらの帯域では、検出率がベースライン（無音状態）と比較して10%近く低下しました。
• 信頼度の低下: 共振周波数において、平均検出信頼度スコアは7%以上低下し、モデルの不確実性が増大していることを示しました。
• 視覚的アーティファクト: 誘発された振動はレンズとセンサーに微細な動きをもたらし、結果としてモーションブラー、幾何学的歪み、およびフレームのジッターを引き起こしました。これらの物理的な歪みは、ニューラルネットワークの特徴抽出層を混乱させるのに十分なものでした。
• 具体的な失敗モード:
  • 誤分類: 物体が誤ったラベルを割り当てられた（例：道路のセグメントが人物と誤分類される）。
  • 抑制: 正当な物体が完全に検出されなかった（例：ボウルやカップが検出をトリガーできなかった）。
  • 偽陽性: モデルが空白領域で物体を幻視した。これは、動きによるアーティファクトを有効な物体の特徴として解釈したためと考えられます。

意義と主張

本論文は、この研究がAIの知覚システムにおける、しばしば見落とされがちな物理的セキュリティリスクを浮き彫りにしていると主張しています。その意義は、攻撃の性質にあります。

• 隠密性とアクセスの容易さ: モデルの知識や入力パイプラインへの直接的なアクセスを必要とするデジタル的な敵対的例とは異なり、この攻撃は基本的なオーディオ機器を用いて、対象となるシステムのソフトウェアやハードウェアの内部にアクセスすることなく、離れた場所から実行可能です。
• 従来の防御策の無効性: この攻撃は、デジタル的なピクセル値を操作するのではなく、物理的なキャプチャプロセスを歪ませるため、敵対的学習や入力前処理といった従来の防御策は効果がありません。
• 幅広い適用性: 今回の知見は、この脆弱性がアクティブなスタビライゼーション機能を持つカメラに限定されず、市販カメラの基本的な機械設計にまで及ぶことを示唆しています。著者らは、これがコンピュータビジョン・アプリケーションにおけるハードウェアセキュリティの再評価と、物理センサーとの相互作用を考慮した新しい緩和戦略の開発を必要としていると論じています。

著者らは、単一のカメラモデル（C930e）の使用や、固定された指向性音響源の使用といった限界を認め、控えめな姿勢を維持しています。彼らは、将来の研究において、脅威の状況を完全に特徴付けるために、より多様なカメラアーキテクチャや動的なマルチソース干渉シナリオを探索する必要があると述べています。