Un quadro unificato per valutare la robustezza agli attacchi avversari fisici nell’era dei VLM edge

Abstract degli autori

I recenti progressi dei modelli visivo-linguistici (VLM) consentono il grounding visivo end-to-end tramite prompt linguistici e decodifica generativa, migliorando notevolmente le capacità di rilevamento zero-shot e a vocabolario aperto. Di conseguenza, i VLM vengono rapidamente impiegati all’edge in sistemi reali in cui la sicurezza è critica. Tuttavia, la robustezza dei VLM edge agli attacchi avversari fisici non è stata studiata sistematicamente e le differenze fondamentali tra i loro output e quelli dei moderni modelli di rilevamento degli oggetti pongono difficoltà metodologiche per una valutazione equa. Per confrontare direttamente le due famiglie, valutiamo ogni modello rappresentativo selezionato in base a un unico esito: se una patch avversaria indossata da una persona sfugga al rilevamento da parte del modello. Misuriamo questo esito introducendo una metrica unificata, il tasso di successo condizionato dell’attacco (cASR), calcolato solo sulle immagini in cui il modello continua a localizzare la persona in presenza di un occlusore grigio corrispondente, e suddividiamo ogni errore in omissione (nessun riquadro), sostituzione (un riquadro sulla patch) e spostamento (un riquadro né sulla persona né sulla patch). Confrontiamo, mediante benchmark, la vulnerabilità agli attacchi avversari fisici dei VLM compatti di grounding con quella di diversi modelli di rilevamento degli oggetti e rileviamo che i VLM possono essere vulnerabili quanto questi ultimi. Mostriamo che la modalità di errore è associata in larga misura al formato dell’output di un modello, anziché alla sua famiglia architetturale. Delle tre modalità, solo l’omissione è visibile a un sistema a valle; lo spostamento e la sostituzione restituiscono riquadri ben formati e con un elevato grado di confidenza, il che li rende errori potenzialmente più pericolosi. Rileviamo inoltre che, in presenza di uno spostamento della distribuzione, i VLM che inizialmente fallivano soprattutto per omissione tendono invece a fallire più spesso per spostamento o sostituzione. Un VLM di grounding può quindi ereditare la vulnerabilità di un modello di rilevamento, mostrando al contempo la possibilità di adottare modalità di errore più pericolose. Il nostro codice e i nostri dati sono disponibili all’indirizzo https://github.com/ericliang1/physical-adversarial-robustness.