[論文レビュー] DeepFool: a simple and accurate method to fool deep neural networks

Seyed-Mohsen Moosavi-Dezfooli, Alhussein Fawzi+1 more|arXiv (Cornell University)|Nov 14, 2015

Adversarial Robustness in Machine Learning参考文献 18被引用数 118

ひとこと要約

DeepFool は、深層ニューラルネットワークを高精度かつ高効率に騙す最小の adversarial パーティクルを計算する反復的で勾配に基づくアルゴリズムを提案する。線形近似を用いて入力を意思決定境界に向かって反復的に投影することで、fast gradient sign method よりも小さな、より信頼性の高いパラメータを生成し、より良い耐性評価と分類器の耐性強化のための訓練データ拡張を可能にする。

ABSTRACT

State-of-the-art deep neural networks have achieved impressive results on many image classification tasks. However, these same architectures have been shown to be unstable to small, well sought, perturbations of the images. Despite the importance of this phenomenon, no effective methods have been proposed to accurately compute the robustness of state-of-the-art deep classifiers to such perturbations on large-scale datasets. In this paper, we fill this gap and propose the DeepFool algorithm to efficiently compute perturbations that fool deep networks, and thus reliably quantify the robustness of these classifiers. Extensive experimental results show that our approach outperforms recent methods in the task of computing adversarial perturbations and making classifiers more robust.

研究の動機と目的

• 大規模な深層学習モデルにおける adversarial パーティクルを計算するための正確で効率的な手法の不足に対処すること。
• 微小で目に見えない変更に対して、最先端の分類器の耐性を測るための信頼できるベンチマークを提供すること。
• 最小パラメータの正確な推定が adversarial 訓練とモデルの一般化に与える影響を調査すること。
• 不正確なパラメータ推定がモデルの耐性に関する誤った結論を導く可能性があることを示すこと。
• 正確な adversarial データ拡張を通じて、より耐性のある分類器の開発を可能にすること。

提案手法

• DeepFool は、分類器の局所的な線形近似を用いて、入力画像を意思決定境界に向かって反復的に投影する反復的アルゴリズムを使用する。
• 各反復で、真のクラスと上位の誤分類クラスのマージンを最も大きくする方向を計算する。
• パラメータは r ← r + α · (g / ||g||) として更新され、ここで g は入力に関する分類器出力の勾配である。
• 予測が変化するまでアルゴリズムを繰り返し、最小の ℓ₂-ノルムのパラメータが得られることを保証する。
• 意思決定境界が局所的に線形であるという事実を活用することで、最小 adversarial 例の効率的かつ正確な近似が可能になる。
• 分類器の予測クラスが変化するまで反復的に適用され、最小パラメータへの収束が保証される。

実験結果

リサーチクエスチョン

• RQ1 深層ニューラルネットワークの最小 adversarial パラメータを計算するためのより正確で効率的な手法を開発できるか？
• RQ2 adversarial パラメータ推定の精度が分類器の耐性評価に与える影響は何か？
• RQ3 最小 adversarial 例を用いたファインチューニングは、粗い近似と比較してモデルの耐性を向上させるか？
• RQ4 不正確なパラメータ手法が、adversarial 耐性に関する誤った結論を導く程度はどの程度か？
• RQ5 最小パラメータは、adversarial 訓練を通じて一般化を向上させるために効果的に利用できるか？

主な発見

• DeepFool は fast gradient sign method よりも顕著に小さい ℓ₂-ノルムの adversarial パラメータを計算し、LeNet (MNIST) では 0.8% のテスト誤差を達成したのに対し、fast gradient method では 4.4% であった。
• DeepFool が生成した adversarial 例を用いたファインチューニングにより耐性が向上し、FC500-150-10 (MNIST) ではテスト誤差が 1.5% に低下した。一方、fast gradient sign を用いたファインチューニングでは誤差が 4.9% に増加した。
• ファインチューニング中に DeepFool パラメータを 3 倍に拡大すると耐性が低下することが確認され、過剰に歪められた例はモデル性能を劣化させることを示している。
• fast gradient sign のような不正確なパラメータ手法を用いることで、図 9 の赤線が示すように、耐性向上の恩恵を過大評価する誤った結論に至る可能性がある。
• この手法は耐性評価の信頼できるツールを提供し、CIFAR-10 における NIN では DeepFool を用いた場合 11.2% の adversarial 誤差を示したが、fast gradient sign を用いた場合は 21.2% であった。
• DeepFool の正確なパラメータ推定は、adversarial 不安定性の理解を深め、より耐性のある分類器の設計を支援する。