[論文レビュー] Adversarial Attacks on Co-Occurrence Features for GAN Detection

Michael Goebel, B. S. Manjunath|arXiv (Cornell University)|Sep 16, 2020

Adversarial Robustness in Machine Learning参考文献 28被引用数 4

ひとこと要約

本論文は、共起特徴に基づく GAN ディテクタに対する最初の標的型敵対的攻撃を提示する。グレイボックス攻撃を導入し、モデルの重みを知らなくても画像統計を操作することでディテクタをだます。攻撃により検出精度は98％以上から4％未満に低下し、モデルの完全な知識を有する場合、精度は0％まで低下する。

ABSTRACT

Improvements in Generative Adversarial Networks (GANs) have greatly reduced the difficulty of producing new, photo-realistic images with unique semantic meaning. With this rise in ability to generate fake images comes demand to detect them. While numerous methods have been developed for this task, the majority of them remain vulnerable to adversarial attacks. In this paper, develop two novel adversarial attacks on co-occurrence based GAN detectors. These are the first attacks to be presented against such a detector. We show that our method can reduce accuracy from over 98% to less than 4%, with no knowledge of the deep learning model or weights. Furthermore, accuracy can be reduced to 0% with full knowledge of the deep learning model details.

研究の動機と目的

• 共起特徴に基づく GAN ディテクタの脆弱性に取り組む。これは、高い精度を示す一方で、敵対的攻撃の影響が未だ調査されていない。
• モデルの重みやアーキテクチャを知らなくても、共起統計を操作できる新しいグレイボックス攻撃を開発する。
• 攻撃の転送性を他の GAN 検出手法に評価し、変更された共起特徴に対しても一般化能力を検証する。
• 標準的な敵対的訓練が、この新しい攻撃に対して完全に防御を提供しないことを示す。特に、攻撃がトレーニング分布に含まれない場合に顕著である。
• 攻撃がクロスチャネル共起ディテクタにも一般化することを示し、類似した検出フレームワークへの広範な適用可能性を示す。

提案手法

• 離散的共起行列の微分可能定式化を提案し、敵対的例生成のための勾配ベース最適化を可能にする。
• 実画像の共起特徴を GAN 生成画像に転送するグレイボックス攻撃を設計し、GAN 生成画像がディテクタに本物と見なされるようにする。
• 敵対的画像の共起行列と実画像の共起行列との L2 距離を最小化する損失関数を用い、効果的な特徴転送を実現する。
• 勾配降下法を用いて、モデルの重みが不明な状態でも入力画像の画素レベルの摂動を最適化し、ターゲットの共起行列に一致させる。
• 赤-緑、赤-青などのチャネル間ペアを含むように共起行列計算を拡張することで、クロスチャネル共起ディテクタに対しても攻撃を拡張する。
• 複数のデータセットとディテクタ（ResNet18 や MobileNet を含む）に対して攻撃を検証し、トレーニングおよび攻撃条件を変えて評価する。

実験結果

リサーチクエスチョン

• RQ1 手作業で作成された非微分可能な特徴に依存する共起特徴に基づく GAN ディテクタに対し、敵対的攻撃が成功するか？
• RQ2 モデルの重みやアーキテクチャを知らなくても、共起統計を操作するグレイボックス攻撃がどの程度ディテクタをだますことができるか？
• RQ3 異なる GAN 検出モデルやデータセットにおいて、攻撃が検出精度をどの程度低下させるか？
• RQ4 提案された攻撃で敵対的再訓練を行うと、耐性が向上するか？他の攻撃タイプと比較するとどうなるか？
• RQ5 クロスチャネルや対角共起行列などの変更された共起特徴に対しても、攻撃は一般化可能か？

主な発見

• グレイボックス共起攻撃により、モデルの重みやアーキテクチャを一切知らずに、GAN 画像の検出精度を98％以上から4％未満に低下させた。
• モデルの完全な知識を有する場合、勾配降下法で共起行列を直接最適化することで、検出精度を0％まで低下させた。
• 攻撃はクロスチャネル共起ディテクタにも一般化され、その精度を、攻撃対象のテストセットで97.4％から13.1％に低下させた。
• 敵対的再訓練が行われない場合、攻撃により他の GAN ディテクタの平均性能が約18％低下した。
• グレイボックス共起攻撃で敵対的再訓練を行うと、耐性が著しく向上し、MobileNet モデルはすべてのテストサブセットで98％以上の精度を達成した。
• グレイボックス共起攻撃で再訓練されていないディテクタは依然として極めて脆弱であり、λ=0 の敵対的セットでは5％未満の精度にとどまり、深刻なセキュリティギャップを示した。