[論文レビュー] A Unified Approach to Interpreting and Boosting Adversarial Transferability

Xin Wang, Jie Ren+4 more|arXiv (Cornell University)|Oct 8, 2020

Adversarial Robustness in Machine Learning被引用数 34

ひとこと要約

The paper uses Shapley interaction indices to interpret adversarial transferability, documents a negative correlation between transferability and interaction, and introduces an interaction loss to boost transferability.

ABSTRACT

In this paper, we use the interaction inside adversarial perturbations to explain and boost the adversarial transferability. We discover and prove the negative correlation between the adversarial transferability and the interaction inside adversarial perturbations. The negative correlation is further verified through different DNNs with various inputs. Moreover, this negative correlation can be regarded as a unified perspective to understand current transferability-boosting methods. To this end, we prove that some classic methods of enhancing the transferability essentially decease interactions inside adversarial perturbations. Based on this, we propose to directly penalize interactions during the attacking process, which significantly improves the adversarial transferability.

研究の動機と目的

• 敵対的転送可能性と摂動内部の相互作用の関係を明らかにする。
• 摂動の相互作用という観点から、既存の転送可能性向上手法に関する統一的な視点を提供する。
• DNN 間で転送可能性を直接高めるための interaction-based loss を提案し、検証する。

提案手法

• Shapley 値と Shapley interaction index を定義して、摂動単位の寄与と相互作用を測定する。
• 多段階攻撃は単一ステップ攻撃よりも大きな摂動相互作用を生み出すことを示し、転送可能性の低下を説明する。
• 理論的に、既存の転送可能性向上手法を、相互作用を減らす技術として結びつけ、統一する。
• 攻撃中の相互作用を penalize するための interaction loss (IR Attack) を提案し、転送可能性を改善する。
• 計算コストを管理するために、相互作用損失のグリッドベースの近似を実装する。

実験結果

リサーチクエスチョン

• RQ1 敵対的転送可能性と摂動単位間の相互作用には負の相関があるのか？
• RQ2 攻撃中の相互作用を罰することは、多様なDNNアーキテクチャ間でのクロスモデル転送可能性を改善することができるか？
• RQ3 古典的な転送可能性向上手法は暗に相互作用を減少させるのか、彼らの有効性に対する統一的な説明を提供するのか？
• RQ4 相互作用に焦点を当てた损失（IR Attack）だけでなく、他の手法と組み合わせた場合、セキュアモデルと非セキュアモデルの両方で転送可能性を高めるのか？
• RQ5 大規模画像に対して、 grid レベルで相互作用損失を計算・適用することはどれくらい実用的か？

主な発見

• 転送可能性と摂動内部の相互作用との間の負の相関を、理論的にも経験的にも示している。
• 古典的な転送可能性向上手法は、摂動相互作用を大幅に減少させることが多く、これまでの有効性の統一的な説明を提供する。
• 相互作用損失は、複数のソース/ターゲットモデルペアにまたがる敵対的転送可能性を大幅に向上させることができる。
• IR Attack を介して相互作用を罰することは、他の転送可能性を高める戦略と組み合わせた場合でも依然として効果的である。
• グリッドレベルの相互作用ペナリゼーションは、性能と計算の実用的なトレードオフを提供する。