歩行者認識システムを妨害する「秘密ルート」

イスラエルと日本が共同で行った新たな研究では、歩行者検知システムには固有の弱点があり、十分な情報を持つ個人が、監視ネットワークが最も効果のない地域を通る慎重に計画されたルートをたどることで、顔認識システムを回避できると主張している。

の助けを借りて、 公開映像 研究者らは、東京、ニューヨーク、サンフランシスコの3カ所で、公共ネットワークで使用されている可能性が高い最も一般的な物体認識システムに基づいて、そのような経路を自動的に計算する方法を開発した。

研究で使用された3つの交差点：東京の渋谷スクランブル交差点、ニューヨークのブロードウェイ、サンフランシスコのカストロ地区。 出典: https://arxiv.org/pdf/2501.15653

この方法により、 信頼ヒートマップ カメラ映像内で歩行者が顔認識でヒットする可能性が最も低い領域を区切る:

右側には、研究者の手法によって生成された信頼性ヒートマップが表示されています。赤い領域は、信頼性が低いこと、および姿勢、カメラのポーズ、その他の要素の構成が顔認識を妨げる可能性が高いことを示しています。

理論的には、このような方法は、位置認識アプリ、または計算された任意の位置で A から B への最も「認識しにくい」経路を広めるための他の種類のプラットフォームに組み込むことができます。

新しい論文では、そのような方法論を提案しており、 位置情報に基づくプライバシー強化技術 （L-PET）また、次のような対策も提案している。 位置ベースの適応閾値 (L-BAT) は、本質的にはまったく同じルーチンを実行しますが、認識を回避する方法を考案するのではなく、情報を使用して監視対策を強化および改善します。多くの場合、このような改善は、監視インフラストラクチャへのさらなる投資なしには不可能です。

したがって、この論文は、検出を回避するためにルートを最適化しようとする人々と、顔認識技術を最大限に活用する監視システムの能力との間で、潜在的な技術戦争が激化する可能性を示唆している。

これまでのフォイル検出方法はこれよりも洗練されておらず、 敵対的アプローチ、 といった TnT攻撃、およびの使用 印刷されたパターン 検出アルゴリズムを混乱させるためです。

2019年の作品「自動監視カメラを騙す：人物検出を攻撃する敵対的パッチ」では、認識システムに人物が検出されていないと信じ込ませ、一種の「不可視性」を可能にする敵対的印刷パターンが実証されました。 出典: https://arxiv.org/pdf/1904.08653

新しい論文の研究者たちは、彼らのアプローチでは準備が少なくて済み、敵対的なウェアラブルアイテムを考案する必要がないと指摘している（上の画像を参照）。

当学校区の 紙 というタイトルです 敵対的アクセサリを使用せずに街頭ビデオカメラによる検出を回避するプライバシー強化技術この研究は、ネゲブ・ベングリオン大学と富士通株式会社の研究者5名によって行われたものです。

方法とテスト

これまでの研究によれば、 敵対マスク, アドハット, 敵対的なパッチ、および他の同様の外出から、研究者は歩行者の「攻撃者」が監視ネットワークで使用されている物体検出システムを知っていると想定しています。これは実際には不合理な仮定ではありません。なぜなら、YOLOなどの最先端のオープンソースシステムが監視システムに広く採用されているからです。 Cisco および ウルトラリティクス （現在YOLO開発の中心的な原動力）。

この論文では、歩行者が計算対象となる場所を固定したインターネット上のライブストリームにアクセスできることも想定しているが、これもまた、 合理的な仮定 報道の強度が強いと思われる場所のほとんどで。

511ny.org などのサイトでは、ニューヨーク市エリアの多くの監視カメラにアクセスできます。 出典: https://511ny.or

これに加えて、歩行者は提案された方法と現場自体（つまり、「安全な」経路が確立される交差点や経路）にアクセスできる必要があります。

L-PET を開発するために、著者らはカメラに対する歩行者の角度の影響、カメラの高さの影響、距離の影響、および時間帯の影響を評価しました。グラウンド トゥルースを取得するために、著者らは 0°、45°、90°、135°、180°、225°、270°、および 315° の角度で人物を撮影しました。

研究者によって行われた地上での真実の観察。

研究者たちは、0.6 つの異なるカメラの高さ (1.8 メートル、2.4 メートル、XNUMX メートル) とさまざまな照明条件 (朝、午後、夜、および「研究室」条件) でこれらの変化を繰り返しました。

この映像を より高速なR-CNN および YOLOv3 物体検出器を研究した結果、物体の信頼性は、歩行者の角度の鋭さ、歩行者との距離、カメラの高さ、天候/照明条件*に依存することがわかりました。

次に著者らは、同じシナリオでより広範囲のオブジェクト検出器（Faster R-CNN、YOLOv3）をテストしました。 SSD; 拡散Det、および RTMDet.

著者らは次のように述べています。

「3 つの物体検出器アーキテクチャはすべて、歩行者の位置と周囲光の影響を受けることがわかりました。さらに、XNUMX つのモデルのうち XNUMX つ (YOLOvXNUMX、SSD、RTMDet) では、その効果がすべての周囲光レベルにわたって持続することがわかりました。」

研究範囲を広げるため、研究者らは東京の渋谷スクランブル交差点、ニューヨークのブロードウェイ、サンフランシスコのカストロ地区の3か所にある一般公開されている交通カメラで撮影された映像を使用した。

各場所では 5 ～ 6 回の録画が行われ、録画 1 回あたり約 4 時間の映像が収録されています。検出パフォーマンスを分析するために、2 秒ごとに 1 つのフレームが抽出され、Faster R-CNN オブジェクト検出器を使用して処理されました。取得されたフレームの各ピクセルについて、この方法では、そのピクセルに存在する「人物」検出境界ボックスの平均信頼度を推定しました。

「3つの場所すべてにおいて、物体検出器の信頼性は、フレーム内の人物の位置によって異なることがわかりました。たとえば、渋谷の交差点の映像では、カメラから遠く離れた場所でも信頼性の低い領域が広く存在し、カメラに近い場所でも柱のせいで歩行者が部分的に見えなくなっています。」

L-PET 法は本質的にこの手順であり、歩行者が認識される可能性が最も低い都市部を通る経路を取得するために「武器化」されていると言えます。

対照的に、L-BAT は同じ手順に従いますが、検出システムのスコアを更新し、L-PET アプローチを回避してシステムの「盲点」をより効果的にするように設計されたフィードバック ループを作成するという違いがあります。

(ただし、実際には、取得したヒートマップに基づいてカバレッジを改善するには、想定される位置に設置されたカメラのアップグレードだけでは不十分です。場所などのテスト基準に基づいて、無視された領域をカバーするために追加のカメラを設置する必要があります。したがって、L-PET 方式は、この特定の「冷戦」を非常に高価なシナリオにエスカレートさせると主張することもできます)

カストロ ストリートの観測エリアにおける、さまざまな検出器フレームワークにわたる各ピクセルの歩行者検出信頼度の平均が、5 本のビデオで分析されました。各ビデオは、日の出、昼間、日没、および 2 つの異なる夜間設定という異なる照明条件下で録画されました。結果は、照明シナリオごとに個別に提示されます。

ピクセルベースのマトリックス表現を グラフ表現 研究者たちは、この課題に適した ダイクストラアルゴリズム 監視検知が低減されたエリアを歩行者が移動するための最適な経路を計算します。

アルゴリズムは、最短経路を見つける代わりに、検出の信頼性を最小限に抑えるように変更され、信頼性が高い領域を「コスト」が高い領域として扱いました。この適応により、アルゴリズムは死角や検出の低いゾーンを通過するルートを識別し、監視システムへの視認性が低い経路に沿って歩行者を効果的に誘導できるようになりました。

シーンのヒートマップをピクセルベースのマトリックスからグラフベースの表現に変換する様子を示す視覚化。

研究者らは、前述の 4 時間の公共の歩行者交通の記録から構築されたデータセットを使用して、L-BAT システムが歩行者検出に与える影響を評価しました。コレクションを作成するために、SSD オブジェクト検出器を使用して 2 秒ごとに 1 フレームが処理されました。

各フレームから、検出された人物を含む境界ボックスが 1 つ選択され、これが陽性サンプルとして選択され、人物が検出されない別のランダム領域が陰性サンプルとして使用されました。これらのツイン サンプルは、L-BAT を適用したモデルと適用しないモデルの 2 つの Faster R-CNN モデルを評価するためのデータセットを形成しました。

モデルのパフォーマンスは、陽性サンプルと陰性サンプルをどれだけ正確に識別できるかをチェックすることで評価されました。陽性サンプルと重なる境界ボックスは真陽性とみなされ、陰性サンプルと重なる境界ボックスは偽陽性と分類されました。

L-BATの検出信頼性を判断するために使用された指標は 曲線下の面積 （AUC）; 真陽性率 (TPR)、偽陽性率 (FPR)、および平均真陽性信頼度。研究者らは、L-BAT の使用により、高い真陽性率を維持しながら (偽陽性はわずかに増加したものの) 検出の信頼度が向上したと主張しています。

最後に、著者らは、このアプローチにはいくつかの限界があると指摘しています。その 1 つは、著者らの方法で生成されたヒートマップが特定の時間帯に固有のものであることです。著者らはこれについて詳しく説明していませんが、これは、より柔軟な展開で時間帯を考慮するには、より大規模で多層的なアプローチが必要であることを示しています。

また、ヒートマップは異なるモデル アーキテクチャには転送されず、特定のオブジェクト検出モデルに関連付けられていることも確認されています。提案された作業は基本的に概念実証であるため、おそらく、この技術的負債を解消するために、より巧妙なアーキテクチャも開発される可能性があります。

まとめ：

解決策が「新しい監視カメラを購入する」ことである新しい攻撃方法は、監視が厳しい地域での公共カメラネットワークの拡大が、 政治的に難しい、また通常は有権者の委任が必要となる、注目すべき公共費用を表しています。

おそらくこの作品が提起する最大の疑問は 「クローズドソースの監視システムは、YOLO などのオープンソースの SOTA フレームワークを活用しますか?」もちろん、これを知ることは不可能だ。なぜなら、（少なくとも米国では）多くの州や市のカメラネットワークを動かす独自システムのメーカーは、そのような使用法を公開すると攻撃を受ける可能性があると主張するだろうからだ。

それでも、政府の IT と社内の独自コードをグローバルなオープンソース コードに移行すると、著者の主張を (たとえば) YOLO でテストする人は誰でもすぐに大当たりする可能性があることがわかります。

* 通常、論文内に関連する表の結果が提供されている場合はそれを含めますが、この場合は論文の表が複雑であるため、一般の読者にはわかりにくく、要約の方が役立ちます。

初版発行日：28年2025月XNUMX日火曜日