[論文レビュー] A study of the effect of JPG compression on adversarial images

Gintare Karolina Dziugaite, Zoubin Ghahramani+1 more|arXiv (Cornell University)|Aug 2, 2016

Adversarial Robustness in Machine Learning参考文献 3被引用数 255

ひとこと要約

論文は JPEG の再圧縮が小さな Fast Gradient Sign 敵対的摂動を反転させることができる一方で、より大きな摂動には失敗し、確信的な誤分類が残る。

ABSTRACT

Neural network image classifiers are known to be vulnerable to adversarial images, i.e., natural images which have been modified by an adversarial perturbation specifically designed to be imperceptible to humans yet fool the classifier. Not only can adversarial images be generated easily, but these images will often be adversarial for networks trained on disjoint subsets of data or with different architectures. Adversarial images represent a potential security risk as well as a serious machine learning challenge---it is clear that vulnerable neural networks perceive images very differently from humans. Noting that virtually every image classification data set is composed of JPG images, we evaluate the effect of JPG compression on the classification of adversarial images. For Fast-Gradient-Sign perturbations of small magnitude, we found that JPG compression often reverses the drop in classification accuracy to a large extent, but not always. As the magnitude of the perturbations increases, JPG recompression alone is insufficient to reverse the effect.

研究の動機と目的

• JPEG 圧縮がニューラルネットワーク分類に用いられる画像の敵対的摂動を緩和できるかを調査する。
• 摂動の大きさを変化させると JPEG の敵対的効果反転能力にどのように影響するかを定量化する。
• JPEG 的射影がデータサブスペースに戻すことが、敵対的事例への頑健性を改善するかを分析する。

提案手法

• 事前学習済み OverFeat ネットワーク（ImageNet, 2012）を用いて元画像、敵対的摂動を加えた画像、および JPEG 再圧縮画像を分類する。
• FGS（Fast Gradient Sign）を用いて ε ∈ {1, 5, 10} の敵対的例を生成する。
• 敵対的画像に対して品質 75 の JPEG 圧縮を適用し JPEG(Adv_ε(x)) を得る。
• トップラベル確率 p_w(ℓ_x|x)、p_w(ℓ_x|Adv_ε(x))、および p_w(ℓ_x|JPG(Adv_ε(x))) を比較する。
• 検証セット全体でトップラベル確率の統計要約（箱ひげ図、散布図）を実施する。
• 変換後の Top-1 Accuracy と平均トップラベル確率を要約した表を提供する。

実験結果

リサーチクエスチョン

• RQ1 JPEG 圧縮はさまざまな大きさの敵対的摂動を反転できるか？
• RQ2 敵対的画像に対する JPEG 再圧縮はトップラベル確率とネットワークの精度にどのように影響するか？
• RQ3 特に小さな摂動に対して、JPEG 圧縮は摂動画像を自然画像サブスペースへ効果的に射影して頑健性を高めるか？

主な発見

修正	Top-1 精度	平均トップラベル確率 p_w(ℓ_x|f(x))
x	0.58	0.61
Adv_1(x)	0.23	0.13
Adv_5(x)	0.11	0.04
Adv_10(x)	0.09	0.04
JPG(Adv_1(x))	0.48	0.41
JPG(Adv_5(x))	0.26	0.17
JPG(Adv_10(x))	0.17	0.04
JPG_noise(Adv_1(x))	0.07	0.06

• JPEG 圧縮は小さな大きさの摂動（ε=1）で敵対的画像のトップラベル確率をしばしば上昇させ、正しい分類を部分的に回復する。
• より大きな摂動（ε=5, ε=10）の場合、JPEG 再圧縮は敵対的効果を反転するのに大半の場合失敗し、精度は低いままである。
• 検証セット全体では、小さな摂動に対して JPEG(Adv_ε) が精度を改善するもののクリーン画像の性能には達せず、より大きな摂動では改善が最小限である。
• ベースラインの“JPG_noise”（置換された JPEG 効果）は JPEG の有益な反転を再現せず、方向性が重要であることを示している。
• Table 1 は Top-1 Accuracy と平均トップラベル確率を示す；x: 0.58, 0.61; Adv_1: 0.23, 0.13; Adv_5: 0.11, 0.04; Adv_10: 0.09, 0.04; JPG(Adv_1): 0.48, 0.41; JPG(Adv_5): 0.26, 0.17; JPG(Adv_10): 0.17, 0.04; JPG_noise(Adv_1): 0.07, 0.06。