[論文レビュー] Defense against Adversarial Attacks Using High-Level Representation Guided Denoiser

Fangzhou Liao, Ming Liang+4 more|arXiv (Cornell University)|Dec 8, 2017

Adversarial Robustness in Machine Learning参考文献 24被引用数 22

ひとこと要約

本論文は、クリーン画像と adversarial 画像の上位層モデル出力の差を用いて、標準的な denoiser で見られる誤差拡大効果を克服するための High-Level Representation Guided Denoiser (HGD) を提案する。HGD は白ボックスおよびブラックボックス攻撃の両方に対して最先端の耐性を示し、アンサンブル adversarial training よりも優れており、NIPS 2017 adversarial defense 競争で第1位を獲得し、高い精度と高速な推論を達成した。

ABSTRACT

Neural networks are vulnerable to adversarial examples, which poses a threat to their application in security sensitive systems. We propose high-level representation guided denoiser (HGD) as a defense for image classification. Standard denoiser suffers from the error amplification effect, in which small residual adversarial noise is progressively amplified and leads to wrong classifications. HGD overcomes this problem by using a loss function defined as the difference between the target model's outputs activated by the clean image and denoised image. Compared with ensemble adversarial training which is the state-of-the-art defending method on large images, HGD has three advantages. First, with HGD as a defense, the target model is more robust to either white-box or black-box adversarial attacks. Second, HGD can be trained on a small subset of the images and generalizes well to other images and unseen classes. Third, HGD can be transferred to defend models other than the one guiding it. In NIPS competition on defense against adversarial attacks, our HGD solution won the first place and outperformed other models by a large margin.

研究の動機と目的

• 標準的な denoiser における誤差拡大効果に対処すること。これは、小さな adversarial パーティクルが深層ネットワークの層を通過する際に拡大され、誤分類を引き起こすためである。
• 広範なトレーニングデータを必要とせず、白ボックスおよびブラックボックスの adversarial 攻撃に対して耐性を持つ防御手法を開発すること。
• 未学習のクラスや異なるターゲットモデルへの一般化および転送性を可能にすること。
• アンサンブル adversarial training よりも推論速度と耐性の両面で優れた既存の最先端防御手法を改善すること。

提案手法

• HGD は、ピクセルレベルの再構成損失ではなく、クリーン画像とノイズ除去後の画像の間のログチ（高レベル表現）の差に基づいた損失関数を用いて denoiser を訓練する。
• denoiser は、クリーン画像とノイズ除去後の画像に対するターゲットモデルの予測の差を最小化するように学習され、結果として adversarial パーティクルが効果的に抑制される。
• この手法は、adversarial 例の転送性を活用し、事前に学習されたターゲットモデルを用いてノイズ除去プロセスをガイドする。
• HGD は少量の画像サブセットで学習され、他の画像や未学習のクラスに対しても良好に一般化され、データおよびトレーニング時間の要件が低減される。
• トレーニング中に FGSM および反復的攻撃を用いて評価され、モデルアンサンブルを用いて耐性を向上させる。
• HGD は adversarial 入力をより分類しやすい形に変換する反 adversarial 変換器として機能し、ピクセルレベルのノイズが増加しても有効である。

実験結果

リサーチクエスチョン

• RQ1 高レベルのモデル表現によってガイドされた denoiser は、adversarial パーティクルの影響を効果的に低減できるか？
• RQ2 上位層のモデル出力を監視信号として用いることで、標準的な denoiser で見られる誤差拡大効果を防げるか？
• RQ3 HGD は少量のトレーニングデータで未学習のクラスや他の画像に良好に一般化できるか？
• RQ4 HGD は異なるターゲットモデル間で転送可能であり、トレーニングに使用されていないモデルの防御を可能にするか？
• RQ5 アンサンブル adversarial training や他の最先端防御手法と比較して、HGD の耐性と推論速度はどの程度優れているか？

主な発見

• HGD は NIPS 2017 adversarial defense 競争で正規化スコア 0.9532 を達成し、2位チームの 0.9235 より顕著に優れた成績を収めた。
• HGD は白ボックスおよびブラックボックス攻撃の両方に対して優れた耐性を示し、コンテストでは非標的攻撃 91 例および標的攻撃 65 例に対応した。
• HGD は推論速度が速く、平均評価時間 50.24 秒であったのに対し、トップコンペティターの範囲は 86.44 〜 127.39 秒であった。
• HGD は未学習のクラスに良好に一般化され、アンサンブル adversarial training ようなデータ集約型手法とは異なり、少量のトレーニング画像で十分に機能する。
• 一部のケースではピクセルレベルのノイズが増加するものの、HGD はクリーン画像とノイズ除去後の画像の上位層予測を一致させることで、adversarial パーティクルを効果的に低減した。
• 2次元ヒストограмの分析により、HGD が予測するパラメータが元の adversarial ノイズと強く相関していることが確認され、有害なパラメータの効果的抑制が示された。