[論文レビュー] Adversarial Machine Learning in Image Classification: A Survey Towards the Defender's Perspective

Gabriel Resende Machado, Eugênio Silva+1 more|arXiv (Cornell University)|Sep 8, 2020

Adversarial Robustness in Machine Learning参考文献 197被引用数 18

ひとこと要約

本調査は、画像分類における敵対的機械学習について、防御者視点で包括的かつ包括的なレビューを提供しており、攻撃と防御のための新規分類法を導入し、実用的なガイドラインを伴った対策の評価を行い、ハイブリッド防御アーキテクチャのような有望な今後の研究分野を特定している。適応的攻撃に対する耐性の強化を強調しており、最新の防御手法とその限界について包括的な概要を提供している。

ABSTRACT

Deep Learning algorithms have achieved the state-of-the-art performance for Image Classification and have been used even in security-critical applications, such as biometric recognition systems and self-driving cars. However, recent works have shown those algorithms, which can even surpass the human capabilities, are vulnerable to adversarial examples. In Computer Vision, adversarial examples are images containing subtle perturbations generated by malicious optimization algorithms in order to fool classifiers. As an attempt to mitigate these vulnerabilities, numerous countermeasures have been constantly proposed in literature. Nevertheless, devising an efficient defense mechanism has proven to be a difficult task, since many approaches have already shown to be ineffective to adaptive attackers. Thus, this self-containing paper aims to provide all readerships with a review of the latest research progress on Adversarial Machine Learning in Image Classification, however with a defender's perspective. Here, novel taxonomies for categorizing adversarial attacks and defenses are introduced and discussions about the existence of adversarial examples are provided. Further, in contrast to exisiting surveys, it is also given relevant guidance that should be taken into consideration by researchers when devising and evaluating defenses. Finally, based on the reviewed literature, it is discussed some promising paths for future research.

研究の動機と目的

• 防御者の視点から、画像分類における敵対的機械学習について包括的かつ自己完結的な調査を提供すること。
• 最近の手法を含むように更新された既存の分類を反映した、敵対的攻撃および防御メカニズムを分類するための新規分類法を導入すること。
• 既存の防御手法の有効性を評価・議論し、適応的攻撃に対する脆弱性を強調すること。
• 耐性評価のためのポリシーを含め、研究者が防御を設計・評価する際に従うべき実用的なガイドラインを提示すること。
• ハイブリッド防御アーキテクチャなど、今後の有望な研究分野を特定・議論すること。

提案手法

• 本稿は、2020年までに発表された画像分類における敵対的攻撃および防御に関する体系的文献レビューを実施している。
• 脅威モデル、最適化手法、摂動タイプに基づく、敵対的攻撃のための新規分類法を提案し、攻撃戦略の分類を強化している。
• 防御のための新規分類法を導入し、防御をメカニズム（例：敵対的訓練、入力前処理、モデル分析）および耐性レベル別に分類している。
• 敵対的例の存在および転送可能性の背後にある理由を分析・議論しており、高次元幾何学的性質やモデルの線形性を含む。
• 耐性の強さ、一般化性能、計算コストといった基準を用いて防御手法を評価している。
• 反応型、前処理型、予防型モジュールを組み合わせたハイブリッド防御アーキテクチャを提案し、防御リポジトリからランダムにコンポーネントを選択することで耐性を強化している。

実験結果

リサーチクエスチョン

• RQ1 画像分類における敵対的攻撃の主な特徴と分類は何か。また、Szegedyらの初期の業績以降、どのように進化してきたか。
• RQ2 適応的敵対者に対する耐性を確保するために、敵対的攻撃に対する防御を体系的に分類・評価する方法は何か。
• RQ3 深層ニューラルネットワークにおける敵対的例の存在および転送可能性の根本的要因は何か。
• RQ4 新しい防御メカニズムを設計・評価する際、研究者が従うべき実用的なガイドラインは何か。
• RQ5 敵対的脅威に直面する中で、耐性のあるディープラーニングモデルを構築するための最も有望な今後の研究分野は何か。

主な発見

• 本稿は、初期の期待にかかわらず、多くの提案された防御が適応的攻撃に対して脆く、効果が薄いことが判明しており、耐性の維持という継続的な課題を浮き彫りにしている。
• 敵対的例は、高次元空間におけるモデルの感受性と意思決定境界の線形性によって生じており、最新のモデルですら同様の傾向を示していることが実証された。
• 調査では、敵対的例の転送性が広範にわたり、あるモデルで訓練された攻撃が、異なるアーキテクチャを持つ他のモデルに対しても成功することが明らかになった。
• 研究者らは、現在の評価手法がしばしば厳密さに欠け、多くの防御が強力な適応的攻撃環境下で失敗していることを発見しており、標準化されたベンチマークの必要性を強調している。
• 反応型検出、前処理、予防型分類モジュールを組み合わせた本稿で提案されたハイブリッド防御アーキテクチャは、耐性向上の可能性を秘めた未開拓の道筋を示している。
• 本稿は、完全に効果的な防御はまだ存在しないと結論づけ、今後の研究は適応的で、モジュール型かつ解釈可能な防御メカニズムに注力すべきであると結論付けている。