[論文レビュー] Autoregressive Perturbations for Data Poisoning

Pedro Sandoval-Segura, Vasu Singla+4 more|arXiv (Cornell University)|Jun 8, 2022

Adversarial Robustness in Machine Learning被引用数 8

ひとこと要約

本稿では、標的データセットや代替モデルのトレーニングを必要とせず、効果的で汎用的かつアーキテクチャに依存しない汚染データを生成する自己回帰的（AR）摂動を導入する。従来の手法とは異なり、AR汚染は単純で手動で指定されたARプロセスを用い、人間が認識できないが非常に分離可能で、多様なアーキテクチャや防御に対してモデルの汎化性能を著しく低下させるノイズを生成する。この手法は、誤差最大化・誤差最小化・ランダムノイズベースラインを上回る耐性と有効性を示す。

ABSTRACT

The prevalence of data scraping from social media as a means to obtain datasets has led to growing concerns regarding unauthorized use of data. Data poisoning attacks have been proposed as a bulwark against scraping, as they make data "unlearnable" by adding small, imperceptible perturbations. Unfortunately, existing methods require knowledge of both the target architecture and the complete dataset so that a surrogate network can be trained, the parameters of which are used to generate the attack. In this work, we introduce autoregressive (AR) poisoning, a method that can generate poisoned data without access to the broader dataset. The proposed AR perturbations are generic, can be applied across different datasets, and can poison different architectures. Compared to existing unlearnable methods, our AR poisons are more resistant against common defenses such as adversarial training and strong data augmentations. Our analysis further provides insight into what makes an effective data poison.

研究の動機と目的

• 不正なデータスクラピングの脅威が増大する中、標的データセットやモデルアーキテクチャへのアクセスなしに効果的なデータ汚染を可能にする。
• 代替ネットワークのトレーニングに高コストがかかるのを避けるために、データセットやアーキテクチャに依存しない汎用的な汚染手法を開発する。
• 敵対的トレーニング、Cutout、CutMix、Mixupといった一般的な防御に対して、耐性を高める。
• 最適化やモデルパラメータを介したバックプロパゲーションなしに、強力で無差別なデータ汚染を生成できるかを調査する。
• 単純で容易に学習可能な摂動が、モデルの汎化性能を著しく低下させるのに非常に有効であるかを実証する。

提案手法

• 自己回帰的（AR）プロセス、特にAR(p)モデルを用いて加法的摂動を生成する。ここで各画素は、直前のp画素の線形結合にノイズを加えたものである。
• ARプロセスはデータおよびアーキテクチャに依存しないため、異なる画像サイズ、データセット、ニューラルネットワークアーキテクチャ間で再利用可能である。
• 摂動が非常に分離可能で容易に学習可能であることを示すために、ARに特化したフィルタを備えた手動で指定された3層のCNNを用いる。
• 同じ10個のARプロセスを、データセット内のすべての画像に一様に適用し、最適化を伴わず多様かつ一貫性のある摂動を生成する。
• 摂動はクラスごとに適用され、同じクラスに属するすべての画像が同一の加法的ノイズパターンを受ける。
• バックプロパゲーションとGPUの使用を回避することで、数秒で汚染パターンを迅速に生成可能である。

実験結果

リサーチクエスチョン

• RQ1 標的データセットや代替モデルパラメータへのアクセスなしに、効果的なデータ汚染を達成できるか？
• RQ2 ARプロセスのような単純で構造的な摂動が、ランダムまたは最適化ベースのノイズよりも汚染効果において優れているか？
• RQ3 敵対的トレーニングやデータオーグメンテーション（例：Cutout、CutMix）といった強力な防御下でも、AR汚染はどの程度の性能を示すか？
• RQ4 手動で指定されたCNNがAR摂動が容易に分離可能であることを示せるか、そしてその分離可能性が汚染成功と相関するか？
• RQ5 清浄データと混合された場合、AR汚染は特に部分的汚染の現実的状況において、どの程度有効か？

主な発見

• AR汚染は、CIFAR-10、SVHN、Tiny-ImageNetといった複数のデータセットおよびResNet-18、Wide ResNetといった複数のアーキテクチャにおいて、誤差最大化・誤差最小化・ランダムノイズベースラインと比較して競争的または優れた性能を示す。
• CIFAR-10では、清浄データが5%のみの状況で、AR汚染によりテスト精度が62.69%に低下し、清浄データのみで得られる74.97%の精度よりも著しく劣る。
• 半径ρₐ = 0.125の敵対的トレーニング下でも、AR汚染は76.13%のテスト精度を維持し、他のすべての手法が同条件で70%未満に低下するのを上回る。
• Cutout、CutMix、Mixupといった強力なデータオーグメンテーション下でも、AR汚染は他の汚染手法が失敗または著しく劣化するのに対し、依然として有効である。
• 清浄データと混合された場合、AR汚染データは他のいかなる汚染手法よりもモデルの汎化性能を著しく低下させ、単に無効であるのではなく、実際に有害であることが示された。
• 同じ10個のARプロセスを、再トレーニングなしに異なるデータセットや画像サイズ間で再利用可能であり、高い汎用性と低コストな計算を示している。