[論文レビュー] Building Robust Deep Neural Networks for Road Sign Detection

Arkar Min Aung, Yousef Fadila+2 more|arXiv (Cornell University)|Dec 26, 2017

Adversarial Robustness in Machine Learning参考文献 14被引用数 9

ひとこと要約

本稿では、GTSRBデータセットを用いて、Fast Gradient Sign MethodおよびJacobian Saliency Map Methodを用いて adversarial examples を生成し、防御的 distillation および adversarial training を用いてモデルの耐性を強化することで、ロード サイン検出のための頑健なディープラーニングパイプラインを提案する。防御後、adversarial samples における正確度は 91.46% に達し、非頑健モデルが正確度 50.89% に低下するのと比べ顕著に優れている。

ABSTRACT

Deep Neural Networks are built to generalize outside of training set in mind by using techniques such as regularization, early stopping and dropout. But considerations to make them more resilient to adversarial examples are rarely taken. As deep neural networks become more prevalent in mission-critical and real-time systems, miscreants start to attack them by intentionally making deep neural networks to misclassify an object of one type to be seen as another type. This can be catastrophic in some scenarios where the classification of a deep neural network can lead to a fatal decision by a machine. In this work, we used GTSRB dataset to craft adversarial samples by Fast Gradient Sign Method and Jacobian Saliency Method, used those crafted adversarial samples to attack another Deep Convolutional Neural Network and built the attacked network to be more resilient against adversarial attacks by making it more robust by Defensive Distillation and Adversarial Training

研究の動機と目的

• リアルタイムの自律走行システムにおける adversarial 攻撃に耐性を持つロード サイン検出のための頑健なディープニューラルネットワークの開発。
• FGSM および Jacobian Saliency Map 法を用いて、GTSRB データセット上で adversarial examples を生成し、ブラックボックス攻撃評価を実施。
• 防御的 distillation および adversarial training が、作成された adversarial samples に対するモデルの頑健性を向上させる有効性の評価。
• 防御メカニズムが、adversarial でないテストデータにおいても高い性能を維持するかを検証。
• MNIST や CIFAR-10 と比較して未だ十分に研究が進んでいない交通標識認識分野に、adversarial defense 技術を適用することで、先行研究のギャップを埋める。

提案手法

• SGD を用いて、学習率 0.01、モーメンタム、ドロップアウトを 30 エポックにわたり使用し、GTSRB データセット上で深層畳み込みニューラルネットワーク（DeepCNN）を訓練することで、ほぼ最先端の性能を達成。
• Fast Gradient Sign Method（FGSM）および Jacobian Saliency Map Method を用いて、人間が認識できないが標的および非標的の摂動を生成する adversarial examples を作成。
• 温度スケーリング（T=100）を用いた防御的 distillation を適用し、モデルの予測を滑らかにすることで、adversarial 入力に対する耐性を向上。
• clean および adversarial サンプルの混合データで再訓練することで、攻撃下での一般化性能を向上させる adversarial training を実施。
• 攻撃者がターゲットネットワークの内部アーキテクチャや重みにアクセスできないブラックボックス攻撃設定を採用。
• 交差エントロピー損失、正確度、F1 スコア、ソフトマックスエントロピーを用いて、clean および adversarial テストセットにおけるモデルのパフォーマンスを評価。

実験結果

リサーチクエスチョン

• RQ1 FGSM および Jacobian Saliency Map 法を用いて生成された adversarial examples は、ブラックボックス設定下で、GTSRB データセット上での最先端の深層CNNを効果的にだますことができるか？
• RQ2 防御的 distillation は、adversarial 攻撃に対する耐性を向上させるが、clean データにおける性能を維持する程度はどの程度か？
• RQ3 adversarial training は、非頑健モデルと比較して、adversarial samples における正確度をどの程度高められるか？
• RQ4 防御的 distillation と adversarial training の組み合わせは、単独で用いる場合よりもより頑健なモデルをもたらすか？
• RQ5 FGSM と Jacobian 基盤の摂動の間の知覚的差異は、現実世界のシナリオにおける攻撃成功確率および物理的実現可能性にどのように影響を与えるか？

主な発見

• 非頑健な DeepCNN モデルは、clean テストサンプルでは 98.77% の正確度を達成したが、攻撃者ネットワークによって生成された adversarial samples では正確度が 50.89% に低下した。
• T=100 を用いた防御的 distillation を適用した後、adversarial samples におけるモデルのテスト正確度は 91.46% に向上し、顕著な耐性向上が確認された。
• 防御的 distillation および adversarial training を経て、adversarial samples における交差エントロピー損失は 3.682 から 0.405 に低下し、より自信があり正しい予測であることが示された。
• 耐性向上にもかかわらず、防御的 distillation 後、clean データにおける正確度は 98.77% から 98.30% にわずかに低下し、性能にわずかなトレードオフが生じた。
• 防御後、adversarial samples におけるソフトマックス予測のエントロピーは 8.78 から 10.41 に上昇し、より一様で過信しすぎない予測であることが示され、耐性向上の兆候となった。
• 本研究では、ドロップアウトのような従来の正則化手法は adversarial 攻撃に対して防御できないことが確認された一方で、防御的 distillation および adversarial training は有効であるが、ハイパーパramータの慎重なチューニングが求められる。