[論文レビュー] ADef: an Iterative Algorithm to Construct Adversarial Deformations

Rima Alaifari, Giovanni S. Alberti+1 more|arXiv (Cornell University)|Apr 20, 2018

Adversarial Robustness in Machine Learning参考文献 27被引用数 24

ひとこと要約

本論文は、追加的摂動ではなく、小さな目立たない変形を画像に適用することで adversarial examples を生成する反復的勾配ベースのアルゴリズム ADef を提案する。MNIST および ImageNet において、最小限の変形で最先端の分類器を 99% の成功率で欺き、深層ネットワークが標準のノルムベースの攻撃を超える幾何変換に対して脆弱であることを示している。

ABSTRACT

While deep neural networks have proven to be a powerful tool for many recognition and classification tasks, their stability properties are still not well understood. In the past, image classifiers have been shown to be vulnerable to so-called adversarial attacks, which are created by additively perturbing the correctly classified image. In this paper, we propose the ADef algorithm to construct a different kind of adversarial attack created by iteratively applying small deformations to the image, found through a gradient descent step. We demonstrate our results on MNIST with convolutional neural networks and on ImageNet with Inception-v3 and ResNet-101.

研究の動機と目的

• 標準のノルムベースの摂動とは異なり、幾何変換に起因する adversarial 攻撃にさらされる深層ニューラルネットワークの脆弱性を解消すること。
• 視覚的に目立たない効率的な勾配ベースの方法を用いて、adversarial 変形を生成すること。
• 特に adversarially trained された分類器を含む、分類器のロバストネスを変形ベースの攻撃に対して評価すること。
• 変形ベースの攻撃が、標準の摂動攻撃に対して訓練された防御を回避できることを示すこと。

提案手法

• ADef は反復的勾配降下法を用い、変形ノルムを最小化するようにベクトル場 τ を最適化することで、入力画像を変形する。この変形により、画像が意思決定境界に近づく。
• このアルゴリズムは DeepFool を模倣しているが、変形空間に適応させたもので、adversarial 画像が y = x ∘ (id + τ) であるのに対し、DeepFool では y = x + r となる。
• 滑らかで自然な見た目の変形を保証し、最適化の安定性を向上させるために、ベクトル場 τ にスムージング処理を適用する。
• 分類器の損失関数に対する変形場 τ の勾配を計算することで、誤分類リスクを最大にする方向に τ を反復的に改善する。
• 損失関数を変更することで、未ターゲット攻撃とターゲット攻撃の両方をサポートする。
• ADef は MNIST では CNN を、ImageNet では Inception-v3 および ResNet-101 を用いて評価され、摂動 r の ℓp ノルムではなく、τ の L2 ノルムを用いて知覚的類似度を測定する。

実験結果

リサーチクエスチョン

• RQ1 追加的摂動ではなく幾何変換である adversarial 変形は、視覚的変化を最小限に抑えながら、深層ニューラルネットワーク分類器を誤分類させることができるか？
• RQ2 標準の ℓ∞-ノルム攻撃と比較して、標準および adversarially trained モデルにおける変形ベース攻撃の成功率はどの程度か？
• RQ3 ADef は、視覚的に目立たないが効果的な adversarial 例を生成できるか、特に標準の adversarial training に対してロバストな分類器に対しても有効か？
• RQ4 PGD を用いた adversarial training は、ADef を用いた訓練よりも、変形ベース攻撃に対してより高いロバストネスを提供するか？
• RQ5 変形場 τ 及びそのノルムは、知覚的類似度と adversarial 成功確率の関係においてどのように関連しているか？

主な発見

• ADef は、MNIST および ImageNet において、目立たない変形を用いて最先端の分類器を約 99% の成功率で欺いた。
• MNIST では、PGD を用いて adversarially trained されたネットワークに対し、54.16% の成功率を達成した。これは、PGD で訓練されたモデルが ADef で訓練されたモデルよりも変形ベース攻撃に対して脆弱であることを示している。
• ADef が生成する変形は、元の画像と視覚的に区別がつかないが、その背後にある摂動の ℓ∞-ノルムは非常に大きい。これは攻撃の幾何的性質に起因する。
• ImageNet では、高解像度で自然な見た目の変形を生成し、変形場の大きさが非常に大きくても、視覚的に感知されない例を生成した。
• PGD を用いた adversarial training で訓練されたネットワークは、ADef 攻撃に対して ADef で訓練されたモデルよりも高い耐性を示した。防御戦略は、攻撃タイプの多様性を考慮する必要があることを示唆している。
• ADef を用いたターゲット攻撃は、特定の低確率ラベルに画像を効果的に誘導できた。これは、本手法の柔軟性と誤分類制御の高精度さを示している。