[論文レビュー] Detecting and Diagnosing Adversarial Images with Class-Conditional Capsule Reconstructions

Yao Qin, Nicholas Frosst+4 more|arXiv (Cornell University)|Jul 5, 2019

Adversarial Robustness in Machine Learning参考文献 41被引用数 37

ひとこと要約

本論文はCapsule Networks (CapsNets)によるクラス条件付き再構成機構を導入し、敵対的画像を検出する手法を提案するとともにCNNへ拡張し、検出を回避するよう設計された再構成型攻撃を検討する。CapsNetsはMNIST、Fashion-MNIST、SVHN、CIFAR-10における検出性能でCNNを上回る。

ABSTRACT

Adversarial examples raise questions about whether neural network models are sensitive to the same visual features as humans. In this paper, we first detect adversarial examples or otherwise corrupted images based on a class-conditional reconstruction of the input. To specifically attack our detection mechanism, we propose the Reconstructive Attack which seeks both to cause a misclassification and a low reconstruction error. This reconstructive attack produces undetected adversarial examples but with much smaller success rate. Among all these attacks, we find that CapsNets always perform better than convolutional networks. Then, we diagnose the adversarial examples for CapsNets and find that the success of the reconstructive attack is highly related to the visual similarity between the source and target class. Additionally, the resulting perturbations can cause the input image to appear visually more like the target class and hence become non-adversarial. This suggests that CapsNets use features that are more aligned with human perception and have the potential to address the central issue raised by adversarial examples.

研究の動機と目的

• 敵対的例の堅牢な検出を、単なる分類精度の向上ではなく動機づける。
• CapsNetsのクラス条件付き再構成を活用して、自然な入力と敵対的入力を区別する。
• 検出アプローチをCNNアーキテクチャへ拡張し、効果を比較する。
• 検出機構を特に狙う攻撃者の影響（再構成型攻撃）を調査する。
• CapsNetsの特徴が人間の知覚とより良く整合し、操作に耐性がある理由を定性的に分析する。

提案手法

• 勝利するCapsuleのポーズパラメータから入力を再構成するクラス条件付き再構成ネットワークを用いる。
• 予測されたクラスのポーズパラメータのみをマスクして入力し、クラス特異的な再構成を生成する。
• 入力とクラス条件付き再構成との再構成距離を計算し、この距離を閾値化して敵対例を検出する。
• CNN+CR（クラス条件付き再構成）モデルとCNN+Rベースラインを導入して、アプローチをCNNへ拡張する。
• 分類損失と再構成距離の両方を最適化して検出を回避する再構成型攻撃を設計する。

実験結果

リサーチクエスチョン

• RQ1 クラス条件付きカプセル再構成は、複数データセットにわたる標準的なホワイトボックスおよびブラックボックスの攻撃を検出できるか。
• RQ2 再構成ベースの検出器はCNNアーキテクチャへ転移するか、CapsNetsとCNNの検出性能はどのように比較されるか。
• RQ3 防御対応の再構成型攻撃はCapsNetsとCNNベースのモデルに対してどのように性能を示すか。
• RQ4 adversarial failures と recoveries から、CapsNet特徴とCNN特徴の知覚的整合性についてどのような洞察が得られるか。
• RQ5 より複雑なデータセット（例：CIFAR-10）へどれくらいスケールするか。

主な発見

• CapsNetsはMNIST、Fashion-MNIST、SVHNで最も強い攻撃検出率と精度を達成し、CNNベースのモデルを上回る。
• 防御対応の再構成型攻撃は検出されない敵対的例を生み出せるが、非再構成攻撃より成功率が低く、CapsNetsは依然としてよりロバスト性を示す。
• CNN+CRはCNN+Rより検出を改善し、クラス条件付き再構成がCapsNetsと同様にロバンス性を向上させることを示唆する。
• Corrupted MNIST では三つのモデルすべてが分布変化を効果的に検出し、CapsNetは特に強力な性能を示す。
• CIFAR-10 では、クラス条件付き再構成を備えたCapsNetsは検出優位性を維持し、攻撃の転送性が低下する傾向を示す。