基於遷移的骨骼動作識別攻擊：TASAR

Concepts de base

骨骼動作識別系統 (S-HAR) 易受對抗性攻擊，特別是基於遷移的攻擊，這種攻擊利用代理模型製作對抗性範例，並將其轉移到目標黑盒模型。

Résumé

基於遷移的骨骼動作識別攻擊：TASAR 研究論文摘要

參考資訊: Diao, Y., Wu, B., Zhang, R., Liu, A., Wei, X., Wang, M., & Wang, H. (2024). TASAR: Transfer-based Attack on Skeletal Action Recognition. arXiv preprint arXiv:2409.02483v2.

研究目標: 本研究旨在探討為何現有的對抗性攻擊在骨骼數據中難以展現遷移性，並開發一種針對骨骼動作識別系統 (S-HAR) 的有效遷移攻擊方法。

方法: 作者首先透過分析損失表面平滑度來研究 S-HAR 中對抗性遷移性低的原因。然後，他們提出了一種名為 TASAR 的新型遷移攻擊方法，該方法基於訓練後雙貝葉斯優化，以平滑損失曲面並提高對抗性遷移性。TASAR 還整合了時空運動梯度，以破壞 S-HAR 模型的時空一致性。

主要發現:

• S-HAR 模型的損失表面比圖像數據訓練的模型更尖銳，導致遷移性相對較低。
• 使用具有平滑損失表面的代理模型可以顯著增強 S-HAR 中的對抗性遷移性。
• TASAR 在各種 S-HAR 模型、數據集和防禦機制中始終優於現有的攻擊方法。

主要結論: 作者證明了基於遷移的攻擊在 S-HAR 中的可行性，並提供了一種名為 TASAR 的新型攻擊方法，該方法在黑盒設置下實現了最先進的性能。

意義: 這項研究對於理解和提高 S-HAR 系統的對抗性魯棒性具有重要意義，這在自動駕駛、智能監控和人機交互等實際應用中至關重要。

限制和未來研究: 作者承認，TASAR 的性能仍然受到代理模型選擇的影響，並且未來的研究可以探索更有效的方法來選擇或訓練具有更平滑損失表面的代理模型。此外，未來的研究還可以探討針對其他類型的對抗性攻擊（例如，基於查詢的攻擊）的防禦機制。

Stats

TASAR 在不同模型和數據集上的平均遷移成功率為 35.5%，分別超過了最先進的 S-HAR 攻擊方法 SMART 和最先進的基於遷移的攻擊方法 MIG 23.4% 和 8.1%。
TASAR 使用的貝葉斯組件僅增加了代理模型大小的 0.012M 參數，而 BA 使用的貝葉斯代理模型的參數數量是單個代理模型的 15 倍（255.57M）。

Citations

"現有的 S-HAR 攻擊已經展現出出色的白盒攻擊性能，但在遷移性方面表現不佳"
"與普遍認為對抗性範例在不同模型架構和參數之間可以很好地遷移的觀點相反，現有的攻擊在 S-HAR 上並沒有表現出遷移性，這讓人們對對抗性遷移性在該領域的有效性產生了懷疑"
"我們系統地研究了先前未知的 S-HAR 中對抗性遷移性低的原因，並引入了第一個針對 S-HAR 的基於遷移的攻擊來解決這個問題"

Idées clés tirées de

TASAR: Transfer-based Attack on Skeletal Action Recognition

by Yunfeng Diao... à arxiv.org 10-10-2024

https://arxiv.org/pdf/2409.02483.pdf

Questions plus approfondies

除了損失表面平滑度之外，還有哪些其他因素會影響 S-HAR 中的對抗性遷移性？

除了損失表面平滑度，以下幾個因素也會影響 S-HAR 中的對抗性遷移性：

數據集特性:

數據集大小: 較小的數據集更容易受到對抗性攻擊，因為模型可能無法學習到足夠泛化的特徵表示。
數據多樣性: 缺乏多樣性的數據集（例如，動作類別有限、拍攝角度單一）可能會導致模型過擬合，降低對抗性遷移性。
骨骼數據品質: 骨骼數據的噪聲、遮擋和缺失關節等問題會影響模型的魯棒性和遷移性。

模型架構和訓練策略:

模型容量: 容量較大的模型（例如，具有更多參數的模型）可能更容易受到對抗性攻擊，但也可能學習到更魯棒的特徵表示。
訓練正則化: 適當的正則化技術（例如，dropout、權重衰減）可以提高模型的泛化能力，增強對抗性遷移性。
時空特徵提取: S-HAR 模型需要有效地提取時空特徵。更強大的時空建模能力可以提高模型對抗攻擊的魯棒性。

攻擊方法:

攻擊強度: 攻擊強度越大，對抗性遷移性通常越低。
攻擊目標: 無目標攻擊通常比目標攻擊更容易遷移。
攻擊算法: 不同的攻擊算法利用不同的模型漏洞，其生成的對抗性樣本的遷移性也不同。

如何設計更強大的防禦機制來抵禦基於遷移的 S-HAR 攻擊，特別是針對 TASAR 等先進攻擊？

針對 TASAR 等基於遷移的 S-HAR 攻擊，可以從以下幾個方面設計更強大的防禦機制：

增強模型魯棒性:

對抗訓練: 使用對抗性樣本進行訓練，提高模型對抗攻擊的魯棒性。可以考慮結合 TASAR 生成的攻擊樣本進行對抗訓練。
魯棒性正則化: 在模型訓練過程中加入魯棒性正則化項，例如，鼓勵模型學習更平滑的損失表面。
時空特徵去噪: 開發針對骨骼數據的時空特徵去噪技術，減少噪聲和遮擋對模型的影響。

檢測和過濾對抗性樣本:

基於統計特性的檢測: 分析骨骼數據的統計特性，例如關節角度、速度和加速度，檢測異常的運動模式。
基於運動一致性的檢測: 利用骨骼數據的時空一致性，檢測不符合自然運動規律的對抗性擾動。

多模型融合:

集成學習: 結合多個 S-HAR 模型的預測結果，提高整體的魯棒性和泛化能力。
模型協同訓練: 使用不同的 S-HAR 模型互相提供監督信息，提高模型的泛化能力和對抗攻擊的魯棒性。

數據增強:

基於運動合成的數據增強: 通過合成新的骨骼數據，例如，改變動作速度、角度和組合，增加數據的多樣性和模型的泛化能力。
基於噪聲添加的數據增強: 在訓練數據中添加不同類型的噪聲，例如高斯噪聲、椒鹽噪聲，提高模型對噪聲的魯棒性。

如果將 TASAR 應用於其他類型的時間序列數據（例如，用於醫療保健或金融的數據），它是否也能達到類似的性能？

TASAR 的核心思想是利用貝葉斯優化平滑損失表面，並結合時空動態信息生成更具遷移性的對抗性樣本。

適用性: TASAR 的設計理念可以應用於其他類型的時間序列數據，例如醫療保健中的心電圖、腦電圖數據，以及金融中的股票價格、交易量數據。
性能: TASAR 在其他時間序列數據上的性能取决于數據本身的特性和模型的結構。

如果數據具有明顯的時空相關性，並且模型利用了這些相關性，那麼 TASAR 很可能也能取得不錯的性能。
但是，如果數據的時空相關性較弱，或者模型主要關注於數據的靜態特徵，那麼 TASAR 的效果可能會受到限制。
在將 TASAR 應用於其他時間序列數據時，需要考慮以下因素：

數據預處理: 根據數據的特性進行適當的預處理，例如，數據標準化、降噪、插值等。
模型選擇: 選擇適合數據特性的時間序列模型，例如，RNN、LSTM、GRU、Transformer 等。
超參數調整: 根據數據和模型的特性調整 TASAR 的超參數，例如，攻擊強度、迭代次數、貝葉斯優化參數等。
總之，TASAR 為基於遷移的 S-HAR 攻擊提供了一種新的思路，並展現出良好的性能。 然而，對抗性攻擊和防禦是一個不斷發展的領域，設計更強大的防禦機制，以及探索 TASAR 在其他時間序列數據上的應用，仍然是未來研究的重要方向。