[論文レビュー] An integrated Auto Encoder-Block Switching defense approach to prevent adversarial attacks

Anirudh Yadav, Ashutosh Upadhyay‬+1 more|arXiv (Cornell University)|Mar 11, 2022

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本論文は、摂動除去のためのオートエンコーダと、白색ボックス攻撃に対する耐性を高めるためのブロックスイッチングアーキテクチャを組み合わせた新しい防御機構を提案する。FGSM攻撃を評価対象として、入力の再構築とネットワークブロックの動的変更により、誤分類率を顕著に低減するという、より高い耐性を示した。

ABSTRACT

According to recent studies, the vulnerability of state-of-the-art Neural Networks to adversarial input samples has increased drastically. A neural network is an intermediate path or technique by which a computer learns to perform tasks using Machine learning algorithms. Machine Learning and Artificial Intelligence model has become a fundamental aspect of life, such as self-driving cars [1], smart home devices, so any vulnerability is a significant concern. The smallest input deviations can fool these extremely literal systems and deceive their users as well as administrator into precarious situations. This article proposes a defense algorithm that utilizes the combination of an auto-encoder [3] and block-switching architecture. Auto-coder is intended to remove any perturbations found in input images whereas the block switching method is used to make it more robust against White-box attacks. The attack is planned using FGSM [9] model, and the subsequent counter-attack by the proposed architecture will take place thereby demonstrating the feasibility and security delivered by the algorithm.

研究の動機と目的

• 最小の摂動を利用して攻撃される深層ニューラルネットワークの脆弱性の増大に対処すること。
• 攻撃者がモデルのアーキテクチャとパラメータを完全に把握できる白色ボックス攻撃に対する防御の耐性を向上させること。
• 入力再構築のためのオートエンコーディングと、動的ブロックスイッチングによる攻撃者に対するモデルの不確実性の向上を統合すること。
• 制御された評価環境下で、FGSMに基づく敵対的攻撃に対して、このハイブリッド防御の有効性を検証すること。

提案手法

• 敵対的攻撃によって導入された微小で人間が認識できない摂動を学習することで、入力画像を再構築するためのオートエンコーダを訓練する。
• 推論時にネットワーク内の残差ブロックを動的に再構成することで、敵対的パターンを攪乱するブロックスイッチング機構を採用する。
• オートエンコーダのノイズ除去機能と、ブロックスイッチングによる構造的ランダムネスを組み合わせることで、モデルの耐性を向上させる。
• 耐性をテストするための主な脅威シナリオとして、FGSM攻撃モデルを用いてアーキテクチャを評価する。
• 防御は推論時に行われ、オートエンコーダがメインネットワークに入力される前に入力を処理する。
• ブロックスイッチング部は、ネットワークの順方向伝搬に確率的要因を導入し、攻撃者が勾配を予測しにくくする。

実験結果

リサーチクエスチョン

• RQ1 オートエンコーダは、分類の前に敵対的摂動を効果的に低減できるか？
• RQ2 残差ネットワークにおける動的ブロックスイッチングは、白色ボックス敵対的攻撃に対する抵抗性を高められるか？
• RQ3 オートエンコーディングとブロックスイッチングの組み合わせは、単独で用いた場合と比較して、どの程度耐性が向上するか？
• RQ4 提案手法は、FGSM攻撃下で誤分類率をどの程度低減できるか？

主な発見

• 入力の再構築と構造的多様性の導入により、提案防御はFGSM攻撃の成功率を顕著に低減した。
• オートエンコーディングとブロックスイッチングの統合は、単体で用いた場合よりもより耐性のあるモデルを実現した。
• オートエンコーダは微小で標的の摂動を効果的に除去し、分類の前に入力の忠実性を回復した。
• ブロックスイッチングによりモデルの不確実性が増し、勾配に基づく攻撃が勾配の流れが予測不能になるため、効果が低下した。