[論文レビュー] Adversarial Perturbations Prevail in the Y-Channel of the YCbCr Color Space

Camilo Pestana, Naveed Akhtar+3 more|arXiv (Cornell University)|Feb 25, 2020

Adversarial Robustness in Machine Learning参考文献 53被引用数 9

ひとこと要約

本稿では、YCbCr色空間のYチャネルからのアドバーシャルノイズを、アップサンプリングフレームワーク内でResNet特徴を用いて独自に除去するモデルに依存しない防御手法ResUpNetを提案する。この手法は、摂動が最も集中しているYチャネルに焦点を当てることで、クリーン画像の精度を保持しつつPGD、FGSM、DDN攻撃に対して優れた性能を発揮し、入力変換防御分野で最先端の性能を達成する。

ABSTRACT

Deep learning offers state of the art solutions for image recognition. However, deep models are vulnerable to adversarial perturbations in images that are subtle but significantly change the model's prediction. In a white-box attack, these perturbations are generally learned for deep models that operate on RGB images and, hence, the perturbations are equally distributed in the RGB color space. In this paper, we show that the adversarial perturbations prevail in the Y-channel of the YCbCr space. Our finding is motivated from the fact that the human vision and deep models are more responsive to shape and texture rather than color. Based on our finding, we propose a defense against adversarial images. Our defence, coined ResUpNet, removes perturbations only from the Y-channel by exploiting ResNet features in an upsampling framework without the need for a bottleneck. At the final stage, the untouched CbCr-channels are combined with the refined Y-channel to restore the clean image. Note that ResUpNet is model agnostic as it does not modify the DNN structure. ResUpNet is trained end-to-end in Pytorch and the results are compared to existing defence techniques in the input transformation category. Our results show that our approach achieves the best balance between defence against adversarial attacks such as FGSM, PGD and DDN and maintaining the original accuracies of VGG-16, ResNet50 and DenseNet121 on clean images. We perform another experiment to show that learning adversarial perturbations only for the Y-channel results in higher fooling rates for the same perturbation magnitude.

研究の動機と目的

• RGBおよびYCbCr空間におけるアドバーシャル摂動が色チャネルにどのように分布しているかを調査すること。
• アドバーシャル摂動が顕著に集中しているYチャネルに特化した防御を開発すること。
• クリーン画像の精度を保持しつつ耐性を向上させる、モデルに依存しない入力変換防御を構築すること。
• 摂動の最適化をYチャネルに限定することで、攻撃に必要な摂動の大きさを低減すること。

提案手法

• 入力画像をRGBからYCbCr色空間に変換し、処理対象としてYチャネルを分離する。
• 摂動を加えたYチャネルに畳み込み層を適用し、事前学習済みResNetからの特徴マップを用いて残差ブロックとスキップ接続を介したアップサンプリングネットワークに通す。
• ボトルネックを設けずに、ResNetの特徴マップをアップサンプリングプロセスのガイドとして用いることで、クリーンなYチャネルを再構築する。
• 洗練されたYチャネルを元の変更のないCbおよびCrチャネルと再結合し、最終的にRGB空間での画像を再構築する。
• PyTorchを用いて、防御用のアドバーシャル例を用いて、ResUpNet全体をエンドツーエンドで訓練する。
• 摂動をYチャネルに限定し、小さなステップサイズαと最大εバウンディングを用いた反復的更新により攻撃を最適化する。

実験結果

リサーチクエスチョン

• RQ1 YCbCr色空間において、アドバーシャル摂動はどこに顕著に集中しているか？
• RQ2 すべてのRGBチャネルを変更するのではなく、Yチャネルに特化した防御は、全チャネルを変更する手法よりも優れた性能を発揮できるか？
• RQ3 摂動の最適化をYチャネルに限定することで、攻撃の成功に必要な摂動の大きさは低減できるか？
• RQ4 アップサンプリングアーキテクチャにResNet特徴を組み込んだモデルに依存しない防御は、最小限のクリーン画像精度の損失で最先端の耐性を達成できるか？

主な発見

• RGB空間では均等に分布しているのに対し、YCbCr空間においてはアドバーシャル摂動がYチャネルに著しく集中していることが判明した。
• VGG-16、ResNet50、DenseNet121の全モデルにおいて、PGD、FGSM、DDN攻撃に対して、クリーン画像精度と耐性の両立が図られた最良のトレードオフをResUpNetが達成した。
• 同じ摂動の大きさで、Yチャネルに限定して最適化された攻撃（FGSM-YおよびPGD-Y）は、標準的なFGSMおよびPGD攻撃よりも高い騙し成功率を示した。
• ε = 0.005の条件下で、FGSM-YとPGD-YはそれぞれVGG-16で98.7%および98.5%の成功率を達成したのに対し、標準攻撃では93.7%および89.0%であった。
• 全モデルおよびデータセットにおいて、ResUpNetは高いクリーン画像精度（Top-1およびTop-5）を維持しており、BaRTおよびピクセルデフェクション防御よりも多くの設定で優れた性能を示した。
• この防御はモデルに依存せず、ターゲット分類器のアーキテクチャを変更する必要がないため、広範な適用が可能である。