[論文レビュー] Adversarial Robustness with Non-uniform Perturbations

Ecenaz Erdemir, Jeffrey Bickford+2 more|arXiv (Cornell University)|Feb 24, 2021

Adversarial Robustness in Machine Learning参考文献 42被引用数 4

ひとこと要約

本稿では、マルウェア検出、信用リスク、スパムフィルタリングなどの実世界の応用において特徴の相関関係や重要度を考慮した非一様な摂動を用いた adversarial training を提案する。変換行列 Ω を用いて非一様な ℓp-ノルム制約を定義することで、一様な摂動と比較して現実の攻撃に対して著しく高い耐性を達成し、強力な攻撃下でもスパム検出において最大 94.5% の防御成功率を達成した。

ABSTRACT

Robustness of machine learning models is critical for security related applications, where real-world adversaries are uniquely focused on evading neural network based detectors. Prior work mainly focus on crafting adversarial examples (AEs) with small uniform norm-bounded perturbations across features to maintain the requirement of imperceptibility. However, uniform perturbations do not result in realistic AEs in domains such as malware, finance, and social networks. For these types of applications, features typically have some semantically meaningful dependencies. The key idea of our proposed approach is to enable non-uniform perturbations that can adequately represent these feature dependencies during adversarial training. We propose using characteristics of the empirical data distribution, both on correlations between the features and the importance of the features themselves. Using experimental datasets for malware classification, credit risk prediction, and spam detection, we show that our approach is more robust to real-world attacks. Finally, we present robustness certification utilizing non-uniform perturbation bounds, and show that non-uniform bounds achieve better certification.

研究の動機と目的

• 特徴の依存関係や意味的制約が存在する実世界のセキュリティ応用において、一様なノルムバウンデッド摂動の限界を解消すること。
• マルウェア検出、信用リスク予測、スパム検出などの分野における、現実的な摂動制約をモデル化することで、adversarial robustness を向上させること。
• 一様なバウンディングよりも強い理論的保証を提供する非一様摂動に対する認証フレームワークを開発すること。
• 非一様 adversarial training が標準的な一様攻撃に対しても一般化性能が向上することを示し、実用的頑健性を強化すること。

提案手法

• 特徴の相関関係、重要度、ドメイン知識を符号化する行列 Ω を用いて、変換された摂動制約 ||Ωδ||_p ≤ ε を導入する。
• マハラノビス距離 (MD)、SHAP値、ピアソン相関を用いて Ω を構築し、データ分布の特性を反映する。
• 非一様制約を用いた adversarial training を適用し、現実的な摂動パターン下でも頑健であるようにモデルを最適化する。
• 非一様および一様ノルム制約の両方を強制するハイブリッド防御（Combo）を提案し、頑健性と一般化のバランスを図る。
• 構造的摂動下での理論的保証を可能にする非一様摂動バウンディングを用いた頑健性認証を採用する。
• PGD 攻撃と防御成功率を用いて、マルウェア、信用リスク、スパム検出の実世界データセット上で手法を検証する。

実験結果

リサーチクエスチョン

• RQ1 現実世界の特徴依存関係を反映する非一様摂動は、セキュリティが重要な応用分野における adversarial robustness を向上させ得るか？
• RQ2 現実の攻撃下において、非一様制約を用いた adversarial training は、標準的な一様ノルムバウンデッド訓練と比較してどのように異なるか？
• RQ3 非一様摂動バウンディングは、一様バウンディングよりも強い頑健性認証を可能にするか？
• RQ4 提案手法は標準的な一様攻撃に対しても一般化可能であり、より広範な実用的有用性を示唆するか？
• RQ5 特徴の重要度と相関関係は、効果的な非一様摂動制約を構築する上でどのような役割を果たすか？

主な発見

• スパム検出データセットにおいて、マハラノビス距離に基づく Ω を用いた非一様手法（NU-δ-MD）は ε=1.5 の条件下で 94.45% の防御成功率を達成し、一様ベースライン（93.22%）および Combo 防御（ε=1.5 時に 94.27%）を上回った。
• マルウェア分類において、MD に基づく Ω を用いた非一様アプローチは ε=0.5 時に 92.6% の頑健な正答率を達成し、一様ベースライン（89.6%）および他の非一様バージョンを著しく上回った。
• 信用リスク予測において、NU-δ-MD の変種は ε=0.7 時に 89.4% の頑健な正答率を達成し、一様ベースライン（87.3%）および他の非一様設定を上回った。
• スパム検出のユースケースにおいて、非一様防御はすべての攻撃半径で一様ベースラインを常に上回り、特に ε=0.7 時に最大の差を示した（NU-δ-MD：87.7% 対 Uniform-δ：86.5%）。
• 非一様および一様制約の両方を組み合わせた Combo 防御は中間的な性能を示し、非一様成分が頑健性の向上に不可欠であることを確認した。
• 非一様バウンディングを用いた頑健性認証は、一様バウンディングよりもきめ細やかで効果的であることが示され、理論的利点を裏付けた。