[論文レビュー] Adversarial examples for generative models

Jernej Kos, Ian Fischer+1 more|arXiv (Cornell University)|Feb 22, 2017

Adversarial Robustness in Machine Learning参考文献 19被引用数 32

ひとこと要約

この論文は、変分オートエンコーダー（VAEs）およびVAE-GANsに対する敵対的攻撃を、潜在表現の操作によって導入する。3つの攻撃手法—分類器ベース、VAE損失ベース、潜在空間最適化—を提案し、敵対的例が再構成を歪める一方で人間には検出できないことを実証した。潜在空間攻撃は、摂動の大きさと攻撃成功率のバランスが最も優れていた。

ABSTRACT

We explore methods of producing adversarial examples on deep generative models such as the variational autoencoder (VAE) and the VAE-GAN. Deep learning architectures are known to be vulnerable to adversarial examples, but previous work has focused on the application of adversarial examples to classification tasks. Deep generative models have recently become popular due to their ability to model input data distributions and generate realistic examples from those distributions. We present three classes of attacks on the VAE and VAE-GAN architectures and demonstrate them against networks trained on MNIST, SVHN and CelebA. Our first attack leverages classification-based adversaries by attaching a classifier to the trained encoder of the target generative model, which can then be used to indirectly manipulate the latent representation. Our second attack directly uses the VAE loss function to generate a target reconstruction image from the adversarial example. Our third attack moves beyond relying on classification or the standard loss for the gradient and directly optimizes against differences in source and target latent representations. We also motivate why an attacker might be interested in deploying such techniques against a target generative network.

研究の動機と目的

• VAEやVAE-GANsのような深層生成モデルが、分類タスクを超えて敵対的例に対して脆弱であるかどうかを調査すること。
• エンコーダー段階で潜在表現を操作可能な攻撃者が存在する実用的脅威モデルを同定すること。
• 生成モデルの誤った再構成を引き起こす敵対的入力を生成できる、新たな攻撃手法の開発と評価。
• 摂動の大きさ、再構成の忠実度、計算コストの観点から、異なる攻撃戦略の有効性と効率性を比較すること。

提案手法

• 訓練済みVAEのエンコーダーに接続された分類器を用いて、分類ベースの攻撃により敵対的例を生成し、潜在空間を攻撃の表面として活用する。
• VAE再構成損失（$\mathcal{L}_{\mathrm{VAE}}$）をサロゲート目的関数として用い、再構成誤差を最大化する敵対的例を最適化する。
• 元の潜在コードとターゲット潜在コード間の$L_2$距離を最小化することで、潜在表現を直接最適化し、生成出力に対する精密な制御を可能にする。
• 勾配ベースの最適化を適用し、$L_2$およびRMSDノルムを低く保ちながら、顕著な再構成のずれを引き起こす敵対的入力を生成する。
• MNIST、SVHN、CelebAデータセットに対して、$L_2$ノルム、RMSD、再構成の視覚的検査といった複数の指標を用いて攻撃を評価する。
• 1,000個の敵対的例を生成するまでの時間を測定することで攻撃の効率性を比較し、精度と計算コストのトレードオフを明らかにする。

実験結果

リサーチクエスチョン

• RQ1 VAEやVAE-GANsのような深層生成モデルに対して、敵対的例を効果的に生成できるか？
• RQ2 顕著な摂動を増加させることなく、生成モデルの潜在表現を操作するための最も効果的な攻撃戦略は何か？
• RQ3 分類器ベース、VAE損失ベース、潜在最適化の各攻撃手法は、摂動の大きさ、再構成品質、計算効率の観点からどのように比較できるか？
• RQ4 特にエンコーダーとデコーダーが別々の当事者によって操作される状況を想定した場合、生成モデルに対する敵対的攻撃を正当化する実用的脅威モデルは何か？
• RQ5 敵対的例は、生成モデルの再構成失敗を引き起こす一方で、どれほど人間には検出されないままでいられるか？

主な発見

• 潜在空間攻撃は、MNISTで平均$L_2$ノルム2.96、SVHNで2.80、MNISTでRMSD0.105、SVHNで0.051を記録し、最も人間には検出されにくくかつ効果的な摂動を達成した。
• 損失関数$\mathcal{L}_{\mathrm{VAE}}$攻撃は最も遅く、各最適化ステップで完全な再構成が必要であり、SVHNで1,000個の敵対的例を生成する平均時間が895秒にのぼった。
• CelebAデータセットでは、$\lambda = 0.75$の$\mathcal{L}_{\mathrm{VAE}}$攻撃が$L_2$ノルム8.98、RMSD0.081を達成し、ターゲット顔の高品質な再構成を生成した。
• 分類器ベース攻撃は、MNISTで$L_2$ノルム3.36を記録し、最も大きな摂動で目立つものであり、最も効果が低かった。
• すべてのデータセットにおいて、潜在空間攻撃は摂動の大きさを最小限に抑えつつ再構成歪度を最大化する点で、分類器および$\mathcal{L}_{\mathrm{VAE}}$攻撃を上回った。
• SVHNでは、$L_2$最適化による潜在空間攻撃が平均$L_2$ノルム2.80、RMSD0.051を達成し、$\mathcal{L}_{\mathrm{VAE}}$攻撃（2.36および0.043）よりも顕著に優れていた。