[論文レビュー] Detection as Regression: Certified Object Detection by Median Smoothing

Ping-yeh Chiang, Michael J. Curry+4 more|arXiv (Cornell University)|Jul 7, 2020

Adversarial Robustness in Machine Learning参考文献 36被引用数 4

ひとこと要約

本論文は、回帰タスクに特化した新しい確率的スムージング手法「中央値スムージング」を用いて、訓練不要でモデルに依存しない、最初の認証可能防御を提案する。物体検出を単一の回帰問題に還元し、中央値ベースのスムージングを適用することで、ℓ₂有界の敵対的攻撃下でもMS-COCOで非自明な認証済み平均検出精度（4.21% AP@50）を達成し、物体検出器に対する最初の認証可能防御を実現した。

ABSTRACT

Despite the vulnerability of object detectors to adversarial attacks, very few defenses are known to date. While adversarial training can improve the empirical robustness of image classifiers, a direct extension to object detection is very expensive. This work is motivated by recent progress on certified classification by randomized smoothing. We start by presenting a reduction from object detection to a regression problem. Then, to enable certified regression, where standard mean smoothing fails, we propose median smoothing, which is of independent interest. We obtain the first model-agnostic, training-free, and certified defense for object detection against $\ell_2$-bounded attacks. The code for all experiments in the paper is available at http://github.com/Ping-C/CertifiedObjectDetection .

研究の動機と目的

• 安全で重要なシステムに広く使われている物体検出器が敵対的攻撃に対して脆弱であるにもかかわらず、認証可能防御が存在しないという問題に対処すること。
• 物体検出のような回帰タスクでは効果を示さない標準的な平均ベースの確率的スムージングの限界を克服すること。
• ℓ₂有界の摂動に対して理論的ロバスト性保証を提供する、再訓練不要でモデルに依存しない防御を開発すること。
• 多段階の検出パイプラインを単一の回帰問題に還元することで、認証可能ロバスト性を実現すること。
• MS-COCOのような大規模ベンチマークで、認証可能な物体検出の実用的妥当性を示すこと。

提案手法

• 提案生成、分類、非最大抑制を含む完全な物体検出パイプラインを、バウンディングボックス座標とクラススコアを出力する単一の回帰問題に還元する。
• 回帰タスクでは効果を示さない平均ベースのスムージングとは異なり、新規の中央値ベースのスムージング技術を適用する。
• 入力画像の周囲にガウス分布に従うモンテカルロサンプリングを実施し、予測の中央値を推定することで、集中不等式を用いた認証可能ロバスト性を実現する。
• パーセンタイルベースのスムージングアプローチを採用し、滑らかにした予測の中央値を最終出力として使用することで、ℓ₂ノルムが有界な摂動に対してロバスト性を確保する。
• ベースとなる検出器をブラックボックスとして扱い、再訓練やアーキテクチャの変更を一切不要としない。
• 予測をグループ化して中央値を効率的に計算するためのビンニングとソーティング戦略を実装し、安定性と認証のタイトさを向上させる。

実験結果

リサーチクエスチョン

• RQ1 平均ベースのスムージングが失敗する物体検出のような回帰タスクに、確率的スムージングをどのように適合させられるか？
• RQ2 再訓練不要かつモデルに依存しない認証可能防御を物体検出器に対して構築することは可能か？
• RQ3 中央値スムージングを用いた場合、ℓ₂有界摂動下での物体検出器の認証可能ロバスト性（平均検出精度の観点から）はどの程度達成可能か？
• RQ4 ベースとなる検出器の選択（例：YOLOv3、Mask R-CNN、Faster R-CNN）が最終的な認証性能に与える影響は何か？
• RQ5 実際の敵対的攻撃下での観察されたロバスト性と比較して、認証境界はどの程度タイトか？

主な発見

• 提案された中央値スムージング手法は、ベース検出器にYOLOv3を用いることで、MS-COCOデータセットで最初の非自明な認証済み平均検出精度4.21% AP@50を達成した。
• Mask R-CNNとFaster R-CNNはクリーンなAPがそれぞれ51.28%および50.47%と高いが、スムージングによる影響で認証済みAPは1.67%および1.54%に低下し、アーキテクチャ依存の性能劣化が示された。
• 検出パイプラインを標的とするDAG攻撃は、認証半径内での再検出率をわずか1.1%低下にとどめたため、認証境界は保守的ではあるが妥当であることが示された。
• ソーティングとビンニングによる予測のノイズ除去は、クリーンなAPと認証済みAPの両方を著しく向上させ、前処理の重要性を示した。
• モンテカルロサンプリング（1画像あたり2000サンプル）による計算コストが高く、推論が2000倍遅くなるが、再訓練なしで認証を可能にする。
• このフレームワークは汎用的であり、任意の回帰モデルに適用可能であるため、物体検出を越えた幅広い応用が期待できる。