[論文レビュー] Adversarial Example Generation

Yatie Xiao, Chi‐Man Pun|arXiv (Cornell University)|Feb 1, 2019

Adversarial Robustness in Machine Learning被引用数 2

ひとこと要約

この論文は、人間には感知できないが誤分類を引き起こすように入力データを摂動する方法を提案する。勾配に基づく最適化を用いて標的攻撃用の adversarial examples を生成し、ImageNet においても最新のモデルで 90% を超える成功確率を示した。

ABSTRACT

Deep Neural Networks have achieved remarkable success in computer vision, natural language processing, and audio tasks.

研究の動機と目的

• 人間には感知できない微小な入力摂動が誤分類を引き起こす深層ニューラルネットワークの脆弱性を調査すること。
• 異なるモデルやデータセットにわたる転送性を持つ実用的で効果的な adversarial examples の生成手法を開発すること。
• 標的および非標的攻撃の下での深層学習モデルの頑健性を評価すること。
• 異なるアーキテクチャおよびデータセット間での adversarial examples の成功確率と転送性を定量化すること。

提案手法

• 入力勾配の方向に微小な摂動を加えることで adversarial examples を生成するため、fast gradient sign method (FGSM) を使用する。
• 非標的および標的攻撃の両方の状況に適用し、入力を特定のターゲットクラスに誤分類させることを目的とする。
• L-infinity 範囲で元の入力に近いことを保証する制約を組み込んだ交差エントロピー損失関数を採用する。
• 異なるアーキテクチャにわたる adversarial examples の転送性を評価するために、ImageNet でモデルを訓練および評価する。
• 反復的最適化を用いて摂動を精緻化し、攻撃成功確率を向上させつつ、人間による感知が困難な状態を維持する。
• ResNet、Inception、VGG などの複数の深層学習モデルを用いて手法の一般化性を検証する。

実験結果

リサーチクエスチョン

• RQ1 勾配に基づく adversarial example の生成は、ImageNet における深層ニューラルネットワークをだますのにどの程度効果的か？
• RQ2 adversarial examples はどの程度異なる深層学習アーキテクチャ間で転送されるか？
• RQ3 摂動の大きさが adversarial examples の成功確率と感知困難性に与える影響は何か？
• RQ4 標的攻撃と非標的攻撃は、成功確率と頑健性の観点でどのように比較できるか？
• RQ5 最小限の計算コストで高い攻撃成功確率を維持しつつ adversarial examples を生成できるか？

主な発見

• 提案手法は、1ステップの勾配ベースのアプローチを用いて、ImageNet で標的攻撃の成功確率が 90% を超えた。
• 1つのモデルで生成された adversarial examples は、他のモデルへ 80% を超える転送率で成功して転送された。
• L-infinity 範囲での微小な摂動（ε = 8/255）でも、最新のモデルを効果的にだました。
• ResNet、Inception、VGG などの多様なアーキテクチャにわたり、高い転送性を示した。
• 攻撃は複数のデータセットおよびモデルタイプにわたり効果的であり、深層ニューラルネットワークに根本的な脆弱性があることを示唆した。
• 攻撃の成功は、実世界の応用における頑健性の評価および防御メカニズムの必要性を強調している。