[論文レビュー] A Review of Adversarial Attacks in Computer Vision

Yutong Zhang, Li Yao+2 more|arXiv (Cornell University)|Aug 15, 2023

Adversarial Robustness in Machine LearningComputer Science被引用数 3

ひとこと要約

この論文は、コンピュータビジョン分野における敵対的攻撃について包括的なレビューを提供し、ホワイトボックスおよびブラックボックス手法、最適化ベースおよび生成モデルベースの技術を分類し、画像分類、オブジェクト検出、セマンティックセグメンテーションの分野への応用を分析している。PGD、C&W、UAPsといった手法の高い転送性と耐性が強調されており、特にセグメンテーションのような回帰ベースのタスクにおいて顕著である。

ABSTRACT

Deep neural networks have been widely used in various downstream tasks, especially those safety-critical scenario such as autonomous driving, but deep networks are often threatened by adversarial samples. Such adversarial attacks can be invisible to human eyes, but can lead to DNN misclassification, and often exhibits transferability between deep learning and machine learning models and real-world achievability. Adversarial attacks can be divided into white-box attacks, for which the attacker knows the parameters and gradient of the model, and black-box attacks, for the latter, the attacker can only obtain the input and output of the model. In terms of the attacker's purpose, it can be divided into targeted attacks and non-targeted attacks, which means that the attacker wants the model to misclassify the original sample into the specified class, which is more practical, while the non-targeted attack just needs to make the model misclassify the sample. The black box setting is a scenario we will encounter in practice.

研究の動機と目的

• コンピュータビジョンにおける敵対的攻撃手法を体系的に分類・分析すること、特にホワイトボックスおよびブラックボックス設定を含む。
• 最適化ベースおよび生成モデルベースの敵対的攻撃技術の有効性と転送性を検討すること。
• オブジェクト検出やセマンティックセグメンテーションのような回帰ベースのタスクにおけるディープラーニングモデルの脆弱性を調査すること。
• PGD、C&W、UAPsといった最先端の攻撃手法が、さまざまなビジョンタスクおよびモデルアーキテクチャにおいてどのように性能を発揮するかを評価すること。
• 特に現実世界およびシナリオ固有の応用において、敵対的耐性分野における主な課題と未解決問題を同定すること。

提案手法

• 敵対的攻撃を、モデルへの完全なアクセスが可能なホワイトボックス（全モデル情報利用）と、入力・出力のみにアクセス可能なブラックボックス（入力出力のみ）に分類し、さらにクエリベースと転送ベースのブラックボックス攻撃に細分化する。
• ボックス制約付きL-BFGSやC&W攻撃などの最適化ベース手法をレビューし、勾配情報と制約付き最適化を用いて微小で人間には識別できない摂動を生成する。
• FGSMやPGDのような勾配ベースの攻撃を分析し、モデルの勾配を利用して繰り返し摂動を更新することで誤分類を最大化する。
• 生成モデルベースの手法、特にユニバーサル敵対的摂動（UAPs）を分析し、複数の入力に対して同一の固定摂動を適用することで広範な攻撃成功率を達成する。
• オブジェクト検出およびセマンティックセグメンテーションに特化した攻撃を評価し、パッチベースの攻撃や回帰出力を誤導するように設計された損失関数を検討する。
• 反復的およびエンドツーエンドの生成モデルを用いた攻撃生成手法を比較し、推論速度の向上と摂動品質の向上が見られたと指摘する。

実験結果

リサーチクエスチョン

• RQ1 ホワイトボックスとブラックボックスの敵対的攻撃は、実行可能性、転送性、実用的展開の観点でどのように異なるのか？
• RQ2 なぜセマンティックセグメンテーションのような回帰ベースのタスクは、分類タスクよりも敵対的攻撃に対してより脆弱なのか？
• RQ3 最適化ベースの攻撃は、異なる入力に対してどの程度一般化可能なのか？また、UAPsのような生成モデルベースの手法は、その一般化性をどのように向上させるのか？
• RQ4 損失関数の設計とアーキテクチャの選択は、オブジェクト検出およびセグメンテーションにおける敵対的攻撃の成功率と転送性にどのように影響するのか？
• RQ5 既存の敵対的攻撃手法の主な制限は何であり、最近の進展はそれらをどのように克服しているのか？

主な発見

• ホワイトボックス攻撃は、モデルへの完全なアクセスにより高い成功確率を達成し、C&W や PGD といった手法は、標的攻撃性能において優れた結果を示している。
• ブラックボックスの転送ベース攻撃は、クエリベース攻撃に比べて実用的において優れている。これは、クエリ制限がある状況でも、クエリの消費が少ないためである。
• 最適化ベースの攻撃は入力依存であり、個々のサンプルごとに計算が必要であるのに対し、UAPs などの生成モデルベース手法は、多数の入力に対して効果的な単一の摂動を生成できる。
• セマンティックセグメンテーションモデルは、分類モデルよりも脆弱である。これは、回帰出力の連続的性質が微小な入力変更に対してより敏感であるためである。
• 転送ベース攻撃では、スラッグモデル（代替モデル）の使用により、効果的なブラックボックス攻撃が可能になるが、その成功率はスラッグモデルとターゲットモデルの類似度に依存する。
• エンドツーエンドの生成モデルは、反復的最適化手法と比較して、攻撃生成および推論の時間を顕著に短縮している。