Physically Real-time Infrared Attack against Optical Flow Estimation Networks
本文提出了一种针对光流估计网络的创新型非侵入式物理世界攻击方法，该方法利用隐蔽的红外光和预计算的对抗样本，在无需修改受害者系统的情况下，在多种环境条件下生成实时的、有针对性的干扰。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，这个世界充满了时刻注视着一切的隐形眼睛。这些不是人类的眼睛，而是连接着被称为“光流估计网络”（Optical Flow Estimation Networks）的超级聪明计算机大脑。把这些网络想象成终极的运动检测器。它们不仅仅是看到一张图片，而是观察图片中的每一个像素是如何从一帧移动到下一帧的。如果一辆汽车驶过，网络会精确计算出汽车的每一个部分是以多快的速度以及朝哪个方向行驶。这是自动驾驶汽车躲避障碍物和安防系统追踪窃贼背后的秘密武器。但问题在于：这些计算机大脑有一个致命弱点。就像魔术师可以用障眼法欺骗人类眼睛一样，黑客可以用“对抗样本”（adversarial examples）来欺骗这些网络——这些是极其微小、几乎肉眼不可见的故障，能让计算机看到不存在的东西，或者漏掉本该看到的东西。科学家们提出的重大问题是：我们能否在现实世界中，而不只是在电脑屏幕上，去欺骗这些运动检测器，且不被任何人察觉？
这篇论文介绍了一种实现这一目标的巧妙新方法，它使用了一种对人类来说几乎是不可见的工具：红外光。作者们（一个研究团队）提出了一种他们称之为“物理实时红外攻击”（Physically Real-time Infrared Attack）的方法。他们不是试图在车身上涂抹奇怪的图案（那很容易被看见并擦掉），而是将微小的红外灯贴在目标物体上。对我们的眼睛来说，汽车看起来很正常。但对于能看到红外的摄像机来说，这辆车正在闪烁着一段隐秘且混乱的代码。研究人员发现，通过以一种非常特定且快速的节奏开启和关闭这些灯光，他们可以迷惑计算机的运动检测器。这就像是你正试图追踪一名跑步者，但每当他迈出一步时，有人就闪烁了一下频闪灯，让他看起来像是在瞬间移动或者原地踏步。由于亮度的突然变化，计算机变得非常困惑，从而完全停止了对物体的追踪。
该团队并非仅仅凭直觉认为这行得通；他们建立了一个物理测试场来证明这一点。他们设置了一个摄像机、一个移动物体（一个带有灯光的塑料板）和一个控制器。首先，他们使用了一种“遗传算法”（Genetic Algorithm）——把它想象成一个数字进化模拟器——来找出完美的闪光模式。这个过程耗费了大量时间，就像是在培育一匹完美的赛马。一旦找到了那个获胜模式，他们便训练了一个快速且简单的神经网络（一个“对抗生成网络”），使其能够瞬间复制该模式。这使得他们能够实时开关灯光，其速度比摄像机眨眼的频率还要快。
实验结果非常令人信服。当他们将这种攻击针对两种流行的运动追踪系统（RAFT 和 PWC-Net）进行测试时，攻击非常有效。计算机对移动物体的“视觉”变成了一片空白且混乱的景象。在许多测试中，系统要么完全看不见物体的移动，要么看到了完全错误的路径。研究人员展示了即使在物体移动速度不同、房间光照从暗到亮发生变化、甚至摄像机移远的情况下，这种技巧依然有效。他们发现，当房间不太亮时，这种攻击效果最好，因为强烈的阳光会压制红外信号，但在多种条件下它依然表现出色。
至关重要的是，这篇论文反对那些试图在汽车上打印显眼的贴纸或使用在现实世界中无效的数字模拟的旧方法。作者指出，那些方法之所以经常失败，是因为真实的摄像机会捕捉到噪声，而且打印出来的图案对人类来说太明显了。然而，他们的红外方法在人类眼中保持隐形，同时却能对机器的视觉造成破坏。他们还发现，“闪烁”（即前后两帧之间亮度变化的程度）是这个诡计中最关键的部分。如果没有这种快速的变化，计算机仍然能够识别出运动。
简而言之，这篇论文表明，依赖运动追踪的安全系统可能比我们想象的更加脆弱。通过使用一个简单的、隐形的闪光灯和一点聪明的时机控制，让一个移动物体从计算机的视野中消失是完全可能的。虽然这并不意味着自动驾驶汽车明天就会发生车祸，但它确实表明，我们自动化世界的“眼睛”可能会被一点点隐形的光所致盲，我们需要针对这类物理手段构建更强大的防御机制。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。