[論文レビュー] Adversarial Attacks and Defenses in Physiological Computing: A Systematic Review

Dongrui Wu, Jiaxin Xu+6 more|arXiv (Cornell University)|Feb 4, 2021

Adversarial Robustness in Machine Learning参考文献 115被引用数 8

ひとこと要約

本システマティックレビューは、機械学習パイプラインの脆弱性を悪用して脳-コンピュータインターフェース、バイオメトリクス、ヘルスインフォーマティクスなどの生理的コンピューティングシステムを標的にする悪意ある攻撃を特定・分類する。本研究では、信号処理、特徴工学、モデル推論におけるリスクを強調し、耐性、プライバシー、攻撃・防御の実世界での検証に関する緊急の研究を要請する包括的な防御フレームワークを提案する。

ABSTRACT

Physiological computing uses human physiological data as system inputs in real time. It includes, or significantly overlaps with, brain-computer interfaces, affective computing, adaptive automation, health informatics, and physiological signal based biometrics. Physiological computing increases the communication bandwidth from the user to the computer, but is also subject to various types of adversarial attacks, in which the attacker deliberately manipulates the training and/or test examples to hijack the machine learning algorithm output, leading to possible user confusion, frustration, injury, or even death. However, the vulnerability of physiological computing systems has not been paid enough attention to, and there does not exist a comprehensive review on adversarial attacks to them. This paper fills this gap, by providing a systematic review on the main research areas of physiological computing, different types of adversarial attacks and their applications to physiological computing, and the corresponding defense strategies. We hope this review will attract more research interests on the vulnerability of physiological computing systems, and more importantly, defense strategies to make them more secure.

研究の動機と目的

• 生理的コンピューティングシステムにおける急増するセキュリティリスクに対処する。これらのシステムは、EEG、ECG、EDAなどのリアルタイム生理的信号に依存する。
• 生理的コンピューティングにおける機械学習モデルを標的とした悪意ある攻撃タイプを特定・分類する。具体的には、回避攻撃、汚染攻撃、モデル逆転攻撃を含む。
• 既存の防御メカニズムを調査し、特にトランスファーラーニングおよび特徴工学パイプラインにおける耐性の欠如を浮き彫りにする。
• 医療分野および人間-コンピュータインタラクション分野における高い影響を持つことを踏まえ、悪意ある攻撃および防御の実世界での検証の必要性を強調する。
• データ漏洩およびモデルの完全性を含む、生理的コンピューティングにおけるセキュリティとプライバシーの統合的かつ包括的な研究を提唱する。

提案手法

• EEG、ECG、EDAおよび関連バイオメトリクスを対象とした、悪意ある攻撃に関する210件以上の研究を対象としたシステマティックレビューを実施した。
• 攻撃の表面に基づいて攻撃を分類した：入力レベル（回避）、データレベル（汚染）、モデルレベル（ジャイルブレイキング、バックドア）の操作。
• 時間的・因果的依存関係を考慮した、時系列生理的信号に適用されたFGSM、PGD、および標的付き摂動などの攻撃技術を分析した。
• 敵対的訓練、入力前処理、耐性のある特徴選択を含む防御戦略を評価し、トランスファーラーニングおよびモデル完全性のチェックに重点を置いた。
• 感情認識コンピューティングおよびBCIにおける信号取得・前処理から分類・回帰に至るまでの機械学習パイプライン全体にわたる攻撃ベクトルをマッピングした。
• 臨床およびウェアラブルシステムにおける同定された脆弱性に基づき、実世界のデモンストレーションおよびプライバシー保護型防御を含む、今後の研究のためのフレームワークを提言した。

実験結果

リサーチクエスチョン

• RQ1 生理的コンピューティングシステムにおける悪意ある攻撃の主なタイプは何か。また、それらは機械学習モデルの脆弱性をどのように悪用するか。
• RQ2 悪意ある攻撃は、信号処理、特徴抽出、分類などの生理的コンピューティングパイプラインの異なるコンponentsにどのように影響を与えるか。
• RQ3 現在利用可能な防御メカニズムは何か。それらは医療分野およびウェアラブルアプリケーションにおける実世界での導入において、なぜ不十分なのか。
• RQ4 生理的コンピューティングにおけるトランスファーラーニングおよびモデルのファインチューニングは、なぜデータ汚染およびモデル逆転攻撃に対して特に脆弱になるか。
• RQ5 分類モデルにとどまらず、インプラント可能なデバイスのパラメータ改ざんや感情認識コンピューティングの回帰モデルなど、新たな攻撃表面は存在するか。

主な発見

• 生理的コンピューティングシステムにおける悪意ある攻撃は、非常に効果的かつますます実現可能になっており、特にBCIおよびバイオメトリクスシステムにおいて顕著である。FGSMやPGDなどの攻撃は、EEGおよびECGベースのモデルを効果的に操作している。
• 信号処理および特徴工学の段階は、データ汚染および敵対的特徴選択に対して脆弱であり、検出されないままモデル性能を著しく低下させる可能性がある。
• 生理的コンピューティングにおけるトランスファーラーニングは、特に完全性の検証が行われないまま事前学習モデルが使用される場合、汚染攻撃に対して極めて脆弱である。
• 理論的には実現可能であるものの、実世界での悪意ある攻撃のデモンストレーションは依然として限定的であり、攻撃の実用性および防御の必要性を検証する上で、重要なギャップが存在する。
• 生理的コンピューティングにおけるプライバシーリスクは、モデル操作をはるかに超えて広がっており、BCIは感情状態、好み、健康状態などの機微な個人情報を漏洩する可能性がある。
• 生理的コンピューティングにおける敵対的耐性のための標準化されたベンチマークおよび評価プロトコルが不足しており、防御開発の進展を妨げている。