[論文レビュー] ASP:A Fast Adversarial Attack Example Generation Framework based on Adversarial Saliency Prediction

Fuxun Yu, Qide Dong+1 more|arXiv (Cornell University)|Feb 15, 2018

Adversarial Robustness in Machine Learning参考文献 15被引用数 3

ひとこと要約

本稿では、摂動率を低減しつつ攻撃生成を著しく高速化する、高速な adversarial example 生成フレームワーク ASP を提案する。攻撃に影響を及ぼす可能性の高いピクセル領域を予測することで、ASP は最大 12× の高速化、2× の低い摂動率、MNIST および CIFAR-10 で 87% の攻撃成功率を達成し、FGM、BIM、DeepFool を上回る性能を発揮する。

ABSTRACT

With the excellent accuracy and feasibility, the Neural Networks have been widely applied into the novel intelligent applications and systems. However, with the appearance of the Adversarial Attack, the NN based system performance becomes extremely vulnerable:the image classification results can be arbitrarily misled by the adversarial examples, which are crafted images with human unperceivable pixel-level perturbation. As this raised a significant system security issue, we implemented a series of investigations on the adversarial attack in this work: We first identify an image's pixel vulnerability to the adversarial attack based on the adversarial saliency analysis. By comparing the analyzed saliency map and the adversarial perturbation distribution, we proposed a new evaluation scheme to comprehensively assess the adversarial attack precision and efficiency. Then, with a novel adversarial saliency prediction method, a fast adversarial example generation framework, namely "ASP", is proposed with significant attack efficiency improvement and dramatic computation cost reduction. Compared to the previous methods, experiments show that ASP has at most 12 times speed-up for adversarial example generation, 2 times lower perturbation rate, and high attack success rate of 87% on both MNIST and Cifar10. ASP can be also well utilized to support the data-hungry NN adversarial training. By reducing the attack success rate as much as 90%, ASP can quickly and effectively enhance the defense capability of NN based system to the adversarial attacks.

研究の動機と目的

• 既存の adversarial attack 手法における高い計算コストと低い精度の問題に対処する。
• 攻撃の効率を向上させ、摂動の大きさを低減することで、より的を射ねた効果的な攻撃を実現する。
• 高速な攻撃生成により、スケーラブルな adversarial training を可能にする。
• saliency 分析に基づいて攻撃の精度と効率を評価する包括的な評価スキームを提供する。
• 高速な攻撃生成を支援するデータ集約型 adversarial training により、ニューラルネットワークの耐性を強化する。

提案手法

• 攻撃に最も脆弱なピクセル領域を特定するための、新しい adversarial saliency 予測手法を提案する。
• 勾配に基づく分析から導出された saliency マップを用いて、標的となる摂動の配置をガイドする。
• 攻撃生成中に繰り返し勾配計算を回避するため、事前に学習された adversarial pattern 予測モジュールを導入する。
• 最小限の計算オーバーヘッドで高品質な adversarial example を生成可能な、高速な攻撃フレームワーク（ASP）を構築する。
• 生成された adversarial example を adversarial training に適用し、将来的な攻撃に対してモデルの耐性を向上させる。
• saliency 分析と摂動分布の比較を統合した包括的な評価スキームを開発し、攻撃の精度と効率を測定する。

実験結果

リサーチクエスチョン

• RQ1 adversarial saliency 予測は、adversarial example 生成の精度と効率をどのように向上させるか？
• RQ2 事前学習済みの saliency モデルは、攻撃成功率を損なうことなく、adversarial example 生成の計算コストを低減できるか？
• RQ3 FGM、BIM、DeepFool と比較して、ASP は速度、摂動の大きさ、攻撃成功率の観点でどの程度優れているか？
• RQ4 ASP は、モデルの耐性を強化するために、データ集約型 adversarial training をどの程度効果的に支援できるか？
• RQ5 ASP が生成する adversarial example は、防御されたモデルに対する後続の攻撃の成功率をどの程度低下させるか？

主な発見

• CIFAR-10 において、ASP は BIM や DeepFool と比較して最大 12× の高速化を達成し、1000 枚の画像処理に 2.1 秒を要する一方で、BIM は 25.1 秒を要する。
• MNIST では、ASP は FGM、BIM、DeepFool と比較して摂動率を最大 2× 低減し、最も低い摂動集中度を示す。
• MNIST および CIFAR-10 の両方で、ASP は 87–92% の高い攻撃成功率を維持しており、FGM（7.2% の成功率）を上回り、BIM や DeepFool と同等またはそれを上回る。
• adversarial training の文脈において、ASP は後続の攻撃の成功率を 45% から 90% まで低下させ、モデルの耐性を顕著に向上させる。
• ASE（Attack Success Efficiency）指標により、ASP が予測する saliency パatters が勾配ベースの手法よりも効果的であることが確認され、高い精度と低い計算コストを実現している。
• ASP の事前学習済みパターン予測により、最小限のオーバーヘッドで高速な推論が可能となり、大規模な adversarial training やリアルタイム応用に適している。