[論文レビュー] Analysis of Deep Networks for Monocular Depth Estimation Through Adversarial Attacks with Proposal of a Defense Method

Junjie Hu, Takayuki Okatani|arXiv (Cornell University)|Nov 20, 2019

Adversarial Robustness in Machine Learning参考文献 29被引用数 12

ひとこと要約

本稿では、単眼深度推定（MDE）の畳み込みニューラルネットワーク（CNN）に対する adversarial 攻撃に対して、salieny map 予測器を用いて非顕著な画素をマスクすることで防御する手法を提案する。この手法は、adversarial training を用いて訓練された頑健な saliency ネットワークを活用し、重要な画像領域を特定することで、IFGSM 攻撃下で RMSE 1.778 から 0.655 に深度推定誤差を低減させた。これは、攻撃が主に非顕著な画素に依存していることを示している。

ABSTRACT

In this paper, we consider adversarial attacks against a system of monocular depth estimation (MDE) based on convolutional neural networks (CNNs). The motivation is two-fold. One is to study the security of MDE systems, which has not been actively considered in the community. The other is to improve our understanding of the computational mechanism of CNNs performing MDE. Toward this end, we apply the method recently proposed for visualization of MDE to defending attacks. It trains another CNN to predict a saliency map from an input image, such that the CNN for MDE continues to accurately estimate the depth map from the image with its non-salient part masked out. We report the following findings. First, unsurprisingly, attacks by IFGSM (or equivalently PGD) succeed in making the CNNs yield inaccurate depth estimates. Second, the attacks can be defended by masking out non-salient pixels, indicating that the attacks function by perturbing mostly non-salient pixels. However, the prediction of saliency maps is itself vulnerable to the attacks, even though it is not the direct target of the attacks. We show that the attacks can be defended by using a saliency map predicted by a CNN trained to be robust to the attacks. These results provide an effective defense method as well as a clue to understanding the computational mechanism of CNNs for MDE.

研究の動機と目的

• 単眼深度推定（MDE）システムのセキュリティ的脆弱性を、深層畳み込みニューラルネットワーク（CNN）に基づいて調査すること。
• adversarial 例の分析を通じて、CNN が MDE において用いる計算的メカニズムを理解すること。
• 深度推定の精度を維持したまま adversarial 攻撃に対する防御機構を開発すること。
• adversarial 扰乱に対して、salieny map 予測ネットワークの頑健性を評価すること。

提案手法

• Hu ら [10] に基づき、深度推定に重要な画素を特定するように訓練された saliency map 予測ネットワーク $G$ を使用する。
• IFGSM 攻撃に対して耐性を持つように、$G$ を adversarial training により $G_{\mathrm{adv}}$ に変換する。
• $G_{\mathrm{adv}}$ を用いて adversarial 入力に対して画素単位のマスキングを実施し、深度推定器 $N$ に供給する前に顕著な画素のみを保持する。
• 評価のため、$\epsilon = 0.1$ で 5〜10 回の反復を伴う IFGSM（PGD）攻撃を用いて adversarial 例を生成する。
• $G_{\mathrm{adv}}$ を、$N$ と同じ損失関数を用いて生成された adversarial 例で訓練することで、整合性を保証する。
• 複数の損失関数とネットワークの深さを用いて、深度推定における RMSE を用いて防御性能を評価する。

実験結果

リサーチクエスチョン

• RQ1 IFGSM を用いた adversarial 攻撃は、単眼深度推定 CNN の性能を顕著に劣化させるか？
• RQ2 salieny map 予測器が特定した非顕著な画素をマスキングすることで、adversarial 攻撃に対する頑健性が向上するか？
• RQ3 adversarial training を施さない場合、salieny map 予測ネットワーク自体が adversarial 扰乱に対して脆弱であるか？
• RQ4 salieny ネットワーク $G$ を adversarial training で訓練することで、IFGSM 攻撃に対する深度推定の防御性能が向上するか？
• RQ5 salieny ネットワーク $G_{\mathrm{adv}}$ の層数を増加させることで、防御機構の頑健性は向上するか？

主な発見

• IFGSM 攻撃（$\epsilon=0.1$、10 回の反復）により、深度推定性能が顕著に劣化し、平均的に RMSE がクリーン入力時の 0.664 から adversarial 入力時の 1.778 に上昇した。
• 標準的な saliency map 予測器を用いて非顕著な画素をマスキングすると、RMSE が 0.664 に低下し、攻撃が主に非顕著な領域に依存していることが示された。
• 攻撃の直接的標的でないにもかかわらず、salieny map 予測器 $G$ は adversarial 攻撃に対して脆弱であることが判明した。これは、クリーン入力と adversarial 入力の間で予測された saliency map の差が顕著に大きいことから明らかである。
• adversarial training で訓練された頑健な saliency 予測器 $G_{\mathrm{adv}}$ を用いることで、IFGSM 攻撃下で RMSE が 0.655 に低下し、有効な防御が実現された。
• 層数を増加させることで防御性能が向上し、$G_{\mathrm{adv}}$ の層数を 22 層から 54 層に増加させると、RMSE は 0.664 から 0.655 に低下した。
• 異なる損失関数（例：$\ell_1$、$\ell_2$、REL、$\log 10$、$\ell_{\rm dif}$）においても、防御手法は一貫した性能を示し、RMSE は常に 0.665 未満に保たれた。