[論文レビュー] AEPecker: L0 Adversarial Examples are not Strong Enough

Fei Zuo, Bokai Yang+3 more|arXiv (Cornell University)|Dec 23, 2018

Adversarial Robustness in Machine Learning被引用数 2

ひとこと要約

本稿では、L0 adversarial examples の固有の制限である、少数の画素に大きな振幅の摂動が加わるという特徴を活用して、L0 adversarial examples を検出および補正する新規な防御システム AEPECKER を提案する。Siamese ネットワークを用いて入力画像の事前処理版と元の画像を比較することで、正確な検出とインpainting を用いた補正が可能となり、高い検出精度と効果的な分類回復を達成する。

ABSTRACT

Despite the great achievements made by neural networks on tasks such as image classification, they are brittle and vulnerable to adversarial example (AE) attacks, which are crafted by adding human-imperceptible perturbations to inputs in order that a neural-network-based classifier incorrectly labels them. In particular, L0 AEs are a category of widely discussed threats where adversaries are restricted in the number of pixels that they can corrupt. However, our observation is that, while L0 attacks modify as few pixels as possible, they tend to cause large-amplitude perturbations to the modified pixels. We consider this as an inherent limitation of L0 AEs, and thwart such attacks by both detecting and rectifying them. The main novelty of the proposed detector is that we convert the AE detection problem into a comparison problem by exploiting the inherent limitation of L0 attacks. More concretely, given an image I, it is pre-processed to obtain another image I' . A Siamese network, which is known to be effective in comparison, takes I and I' as the input pair to determine whether I is an AE. A trained Siamese network automatically and precisely captures the discrepancies between I and I' to detect L0 perturbations. In addition, we show that the pre-processing technique, inpainting, used for detection can also work as an effective defense, which has a high probability of removing the adversarial influence of L0 perturbations. Thus, our system, called AEPECKER, demonstrates not only high AE detection accuracies, but also a notable capability to correct the classification results.

研究の動機と目的

• ニューラルネットワークが L0 adversarial examples に対して脆弱であるという問題に対処すること。L0 adversarial examples は少数の画素に大きな摂動を加える。
• L0 攻撃の根本的制限である、高振幅の画素変更を、検出可能なシグネチャとして特定すること。
• 画像比較を通じてこの制限を活用した検出メカニズムを開発すること。
• インpainting を用いた補正を通じて、検出だけでなく、攻撃を受けた入力を補正する防御を設計すること。
• L0 adversarial examples に対して高い検出精度と信頼性の高い分類回復を達成すること。

提案手法

• 入力画像 I を、自然画像の構造を保持するインpainting 技術を用いて事前処理し、I' を生成する。
• I と I' をペアとして、Siamese ニューラルネットワークに供給し、類似性を比較して adversarial perturbations を検出する。
• Siamese ネットワークが画像比較に適した判別的特徴を学習できることを活かし、L0 攻撃によって引き起こされる乖離を特定する。
• 検出に用いた同じインpainting の事前処理ステップを、障害のある画素を修復することで adversarial perturbations を除去する防御メカニズムとして利用する。
• I–I' の比較に基づいて、クリーン画像と L0 adversarial examples を区別できるように、Siamese ネットワークをエンド・ツー・エンドで訓練する。
• 検出と補正を統合したフレームワークとして、AEPECKER を構築し、高い検出精度と分類回復を両立する。

実験結果

リサーチクエスチョン

• RQ1 L0 adversarial examples に内在する大振幅摂動を、検出可能なシグネチャとして活用できるか？
• RQ2 元の画像と事前処理済みバージョンを比較することで、Siamese ネットワークが L0 adversarial examples を効果的に検出できるか？
• RQ3 検出に用いたインpainting を用いた事前処理ステップが、防御として効果的であるか？
• RQ4 L0 adversarial examples によって引き起こされた誤分類を、高い信頼性で補正できるか？
• RQ5 既存の防御手法と比較して、AEPECKER の検出および補正性能はどのように異なるか？

主な発見

• Siamese ネットワークに基づく検出器は、L0 adversarial examples の大振幅摂動特性を活用することで、高い精度で同定を達成する。
• 検出に用いた事前処理ステップである画像インpainting は、adversarial perturbations を効果的に除去し、強力な防御として機能する。
• AEPECKER は、分類結果の補正に顕著な能力を示し、多くの場合でモデルの予測を正しいラベルに回復させる。
• 本手法は、L0 攻撃の構造的制限（少数だが大きな摂動）を検出の手がかりとして効果的に活用している。
• ターゲット分類器の再訓練を必要とせず、L0 攻撃に対して高い検出精度と耐性を達成している。
• 検出と補正を統合したフレームワークにより、実用的な防御の有効性が向上している。