セキュリティ/攻撃2026/8/3arXiv:2608.02806

安全クリティカルな映像認識システムに対する高速物体除去攻撃

Fast Object Removal Attacks on Safety-Critical Video-based Perception Systems

映像ベースの認識システムを欺くため、物体をリアルタイムに近い速度で除去する攻撃手法を提案し、交差点データで高い攻撃成功率と画質維持を実証した。

詳しい要約

1. どんなもの？

本論文は、ビデオベースの知覚システムに対する、ほぼリアルタイムで動作する標的型物体除去攻撃（Fast Object Removal Attack）の新しい攻撃モデルとエンドツーエンドのフレームワークを提案している。攻撃は、各フレームで対象物体を特定し、以前のフレームから一貫性のあるパッチを取得し、文脈を考慮したアルファ合成でブレンドし、攻撃されたフレームを再構成する4段階のパイプラインで構成される。ITS（Intelligent Transportation Systems）の安全性に重要な用途を標的とし、物体検出を低下させることでシステムの誤動作を引き起こすことを目的とする。

2. 先行研究と比べてどこがすごい？

先行研究と比べて、本攻撃はビデオベースの知覚システム全体を対象としたエンドツーエンドのフレームワークであり、ほぼリアルタイム（GPU上で1フレームあたり0.074〜0.172秒）で動作する点が新しい。また、フレーム間の時間的整合性を利用して、物体除去後のフレームを高品質に再構成し、元のフレームとの類似性を高く保つ（PSNR 40 dB以上、SSIM 0.996以上）。さらに、既存のタンパー検出モデルが再構成フレームと本物のフレームを区別できないことを示し、攻撃のステルス性を評価している点も先行研究と異なる。

3. 技術・手法の肝は？

手法の肝は、4段階のエンドツーエンドのパイプラインにある。まず、各フレームで対象物体を検出・位置特定する。次に、以前のフレームから物体が存在しない領域のパッチを取得し、時間的整合性を保つ。その後、文脈を考慮したアルファ合成（context-aware alpha compositing）を用いてパッチをブレンドし、境界を自然に馴染ませる。最後に、攻撃されたフレームを再構成する。このパイプラインにより、物体を除去してもフレーム全体の品質を保ち、検出器を欺く。

4. どうやって有効だと検証した？

有効性は、South Carolina Connected Vehicle Testbed (SC-CVT) の交差点での実験で検証された。再構成フレームの品質は、フレームレベルのPSNRが40 dB以上、SSIMが0.996以上で、元のフレームと高い類似性を示した。YOLOベースの検出器に対して、物体検出を最大97.59%削減し、フレームレベルの攻撃成功率は94.48%に達した。また、複数の検出器とフレーム解像度で平均実行時間を測定し、GPU上で0.074〜0.172秒/フレームとほぼリアルタイムの性能を確認した。さらに、複数の事前学習済みタンパー検出モデルを用いたフォレンジック評価では、再構成フレームと本物のフレームを区別する能力が限定的であることを示した。

5. 議論はある？

議論としては、ビデオベースの知覚システムがステルス性の高い物体除去攻撃に対して脆弱であることを示し、安全性に重要な用途（例えば、視覚ベースの歩行者安全システム）の性能を低下させる可能性があると指摘している。また、攻撃の検出が困難であることから、防御戦略の開発が必要であると述べている。ただし、実験は特定のテストベッドと検出器に限定されており、他の環境や検出器への一般化については要旨からは不明。また、攻撃の実世界での実現可能性や、防御策の具体的な提案は要旨には含まれていない。

6. 次に読むべき論文は？

要旨で参照されている研究や関連手法としては、YOLO-based detector、tamper-detection models、video-based perception systems、intelligent transportation systems (ITS) などが挙げられる。次に読むべき論文としては、物体除去攻撃や敵対的攻撃に関する一般的な研究（例えば、Adversarial Examples や Object Removal に関する論文）や、ビデオフォレンジック、防御手法に関する論文が考えられるが、具体的なタイトルは要旨からは不明。

※ AIが要旨から生成した要約です。正確性は原文をご確認ください。

著者: Mohammad Imtiaz Hasan, M Sabbir Salek, Nathan Jones, Mashrur Chowdhury, Rong Ge

分類: cs.CR, cs.CV

原文アブストラクト

By leveraging data from video-based perception systems, intelligent transportation systems (ITS) support safety-critical applications that improve road safety. However, adversaries may manipulate video frames to compromise downstream perception modules, causing failures in safety-critical functions and increasing risks to vulnerable road users. This paper presents a novel attack model and an end-to-end framework for near-real-time targeted object removal attack on a video-based safety-critical system. The end-to-end attack pipeline consists of four stages: localizing targets in each frame, retrieving coherent patches from earlier frames, blending them using context-aware alpha compositing, and reconstructing attacked frames. Experiments at an intersection on the South Carolina Connected Vehicle Testbed (SC-CVT) show that reconstructed frames have high global similarity to the originals, with frame-level Peak Signal to Noise Ratio (PSNR) above 40 dB and Structural Similarity Index Measure (SSIM) above 0.996. Using the YOLO-based detector, the attack reduces object detections by up to 97.59% and achieves a frame-level attack success rate of 94.48%. Across the evaluated detectors and frame resolutions, the mean execution time ranges from 0.074 to 0.172 seconds per frame on GPU hardware, indicating near-real-time performance in testing. The forensic evaluation using several pretrained tamper-detection models shows limited ability to distinguish reconstructed from authentic frames. The findings suggest that video-based perception is vulnerable to stealthy object removal attacks that can degrade the performance of safety-critical applications by reducing object detectability. These findings can help develop mitigation strategies against adversarial object removal attacks that threaten safety-critical applications, such as vision-based pedestrian safety systems.

arXivで原文を読む →arXiv概要ページ