[論文レビュー] Attacking Binarized Neural Networks

Angus Galloway, Graham W. Taylor+1 more|arXiv (Cornell University)|Nov 1, 2017

Adversarial Robustness in Machine Learning参考文献 12被引用数 22

ひとこと要約

本稿は、二値化ニューラルネットワーク（BNNs）の敵対的ロバスト性を調査し、1層の重みに対する確率的量子化が反復的敵対的攻撃に対する耐性を顕著に向上させることを示している。BNNsは攻撃の成功を阻害する勾配マスキング効果を示しており、確率的量子化を施したBNNsは、MNISTにおいて最も強力なホワイトボックス攻撃（CWL2）下でも71±2%の敵対的精度を達成し、フルプレシジョンモデルを70倍以上上回っている。

ABSTRACT

Neural networks with low-precision weights and activations offer compelling efficiency advantages over their full-precision equivalents. The two most frequently discussed benefits of quantization are reduced memory consumption, and a faster forward pass when implemented with efficient bitwise operations. We propose a third benefit of very low-precision neural networks: improved robustness against some adversarial attacks, and in the worst case, performance that is on par with full-precision models. We focus on the very low-precision case where weights and activations are both quantized to $\pm$1, and note that stochastically quantizing weights in just one layer can sharply reduce the impact of iterative attacks. We observe that non-scaled binary neural networks exhibit a similar effect to the original defensive distillation procedure that led to gradient masking, and a false notion of security. We address this by conducting both black-box and white-box experiments with binary models that do not artificially mask gradients.

研究の動機と目的

• MNISTおよびCIFAR-10データセットにおける二値化ニューラルネットワーク（BNNs）の敵対的攻撃に対するロバスト性を評価すること。
• 特にBNNsのような低精度モデルが、勾配マスキングや正則化効果によって本質的にロバスト性を示すかどうかを調査すること。
• ホワイトボックスおよびブラックボックスの脅威モデルにおいて、BNNsとフルプレシジョンモデルを比較すること。
• 確率的量子化とアーキテクチャの正則化を組み合わせた防御戦略を提案・検証し、敵対的ロバスト性を向上させること。

提案手法

• 著者らは、重みと活性化を±1に量子化した二値ニューラルネットワーク（BNNs）を訓練し、勾配の乱れを引き起こすために1つの畳み込み層でのみ確率的量子化を適用した。
• MNISTおよびCIFAR-10に対してFGSM、JSMA、CWL2を用いたホワイトボックスおよびブラックボックスの敵対的攻撃を実施し、BNNsとフルプレシジョンモデルを比較した。
• 勾配の挙動と活性化統計を分析し、BNNsが大きなログィット分散と滑らかでない勾配を示すことが判明し、これが勾配マスキングを引き起こしていることを観察した。
• 確率的量子化により、各攻撃ステップでモデルのばらつきが生じ、反復的攻撃が一貫した方向性を持たないアンサンブル探索に変わる。
• 微小プロセッサ向けの効率的な実装を可能にするために、擬似ランダム数生成器を用いて確率的量子化を実装した。
• 異なるアーキテクチャおよび量子化戦略（スケーリングあり・なしのBNNsを含む）を比較し、ロバストネスのメカニズムを特定した。

実験結果

リサーチクエスチョン

• RQ1 ニューラルネットワークの重みと活性化の二値化が、敵対的攻撃に対するロバスト性を向上させるか？
• RQ2 BNNsにおける勾配マスキング効果が、反復的敵対的攻撃の成功をどの程度阻害するか？
• RQ3 1層での重みの確率的量子化が、強力なホワイトボックス攻撃の効果を顕著に低下させるか？
• RQ4 ブラックボックスおよびホワイトボックスの脅威モデル下で、BNNsのロバストネスはフルプレシジョンモデルと比べてどの程度優れているか？
• RQ5 二値ユニットに起因する正則化が、敵対的例への感受性を低下させる役割を果たすか？

主な発見

• 1つの畳み込み層での重みの確率的量子化により、反復的攻撃の成功率が低下し、各ステップでモデルのばらつきが生じ、攻撃がアンサンブル探索に変わることが確認された。
• MNISTでは、確率的量子化を施したBNN（S64+）がCWL2ホワイトボックス攻撃下で71±2%の敵対的精度を達成したのに対し、最良のフルプレシジョンモデルはたった1.8±0.9%にとどまった。
• BNNsは2種類の勾配マスキングを示している：1つは大きなログィット分散とソフトマックス関数の飽和によるもので、もう1つは二値演算に起因する不連続で滑らかでない勾配によるものである。
• 確率的量子化を施さない通常のBNNは、特にJSMA攻撃において、離散的で高ばらつきの大きい勾配のため、攻撃が非効率になるため、標的攻撃に対してロバストであることが示された。
• CIFAR-10では、ブラックボックス設定においてBNNsがフルプレシジョンモデルよりもわずかに優れたロバストネスを示し、これは二値ユニットによる改善された正則化に起因するとされた。
• 本研究は、BNNsがFGSMのような単一ステップ攻撃に対して本質的によりロバストであるとは確認できなかったが、確率的量子化により反復的攻撃に対する耐性が顕著に向上することが判明した。