[論文レビュー] Black-Box Ripper: Copying black-box models using generative evolutionary algorithms

Antonio Bărbălau, Adrian Cosma+2 more|arXiv (Cornell University)|Oct 21, 2020

Generative Adversarial Networks and Image Synthesis参考文献 38被引用数 20

ひとこと要約

本稿では、教師モデルの訓練データや勾配にアクセスできない状況下で、ブラックボックスニューラルネットワークの機能を学生モデルに効果的に抽出する生成的進化フレームワーク「Black-Box Ripper」を提案する。代理データセット上でVAEを学習し、ブラックボックスモデルの特定クラスに対する信頼度を最大化するように潜在変数を進化的に最適化することで、データフリー・ゼロショット知識蒸留分野で最先端の精度を達成。CIFAR-100の代理設定において、ガラスボックスベースラインを10.4%上回った。

ABSTRACT

We study the task of replicating the functionality of black-box neural models, for which we only know the output class probabilities provided for a set of input images. We assume back-propagation through the black-box model is not possible and its training images are not available, e.g. the model could be exposed only through an API. In this context, we present a teacher-student framework that can distill the black-box (teacher) model into a student model with minimal accuracy loss. To generate useful data samples for training the student, our framework (i) learns to generate images on a proxy data set (with images and classes different from those used to train the black-box) and (ii) applies an evolutionary strategy to make sure that each generated data sample exhibits a high response for a specific class when given as input to the black box. Our framework is compared with several baseline and state-of-the-art methods on three benchmark data sets. The empirical evidence indicates that our model is superior to the considered baselines. Although our method does not back-propagate through the black-box network, it generally surpasses state-of-the-art methods that regard the teacher as a glass-box model. Our code is available at: https://github.com/antoniobarbalau/black-box-ripper.

研究の動機と目的

• 教師モデルのアーキテクチャ、訓練データ、勾配にアクセスできない状況下で、ブラックボックスニューラルネットワークの機能を再現する手法を開発すること。
• 本物の訓練データが入手不可能なゼロショット設定における知識蒸留の課題に取り組むこと。
• 代理データと本物のデータ分布のギャップを最小限に抑えることで、データフリー蒸留の性能を向上させること。
• APIレベルのアクセスと進化的最適化のみを用いて、ブラックボックスモデルを効果的に逆引きできるかどうかを示すこと。
• 公開ML APIにおける脆弱性に気づきを呼びかけ、AIセキュリティおよびモデル保護分野の研究を促進すること。

提案手法

• 教師モデルとは異なるクラスを有する代理データセット上で変分オートエンコーダー（VAE）を学習する。
• VAEの潜在変数を進化的な戦略により最適化し、ブラックボックスモデルの特定クラスに対する信頼度を最大化する。
• 生成された画像は実際の画像とは視覚的に類似していないが、教師モデルにおいては高いクラス活性化を示し、効果的な蒸留信号を提供する。
• 学生ネットワークを、生成画像を入力とし、ブラックボックスモデルの出力確率をターゲットとして学習させることで知識蒸留を実行する。
• 進化的プロセスは、意味的リアリズムではなく、テクスチャやパターンの類似性に焦点を当て、クラス信頼度の観点から画像品質を段階的に向上させる。
• 勾配は学生ネットワーク内でのみバックプロパゲーションされ、ブラックボックス制約が維持される。

実験結果

リサーチクエスチョン

• RQ1 訓練データやアーキテクチャにアクセスできない状況下で、学生モデルがブラックボックス分類器の機能を高い精度で再現できるか。
• RQ2 進化的な戦略が、ブラックボックスモデルの特定クラスに対する信頼度を最大化するような、敵対的類似入力を効果的に生成できるか。
• RQ3 クラスや分布が異なる代理データセットが、効果的な知識蒸留を可能にする程度はどの程度か。
• RQ4 本手法は、教師モデルに完全にアクセス可能な最先端のデータフリー蒸留手法を上回るか。
• RQ5 勾配情報なし、最小限のAPIコールでブラックボックス機能を再現できるか。これは、ブラックボックスモデルが安全であるという仮定に挑戦する。

主な発見

• CIFAR-10でCIFAR-100（6クラス）を代理データセットとして使用した場合、Black-Box Ripperは94.7%の精度を達成し、最先端手法を10.4%上回った。
• 10 Monkey Speciesデータセットにおいて、バルド・アカリモンキークラスの信頼度が99.98%に達したが、生成画像は意味的類似性を欠いていた。
• アブレーションスタディにより、進化的な戦略が代理データと本物データの分布ギャップを顕著に縮小し、蒸留性能の向上に寄与することが確認された。
• 教師モデルをバックプロパゲーション可能とする最先端のガラスボックス手法よりも、本フレームワークが優れた性能を示した。
• あるシナリオでは、元のブラックボックスと学生モデルとの間で3.2%の精度ギャップを記録し、高精度な再現性を示した。
• 視覚的分析から、生成画像は意味論的特徴ではなく、テクスチャパターンに依存していることが判明したが、それでも教師モデルにおいては高い信頼度を引き出していた。