[論文レビュー] Dimensionality Reduction as a Defense against Evasion Attacks on Machine Learning Classifiers.

Arjun Nitin Bhagoji, Daniel Cullina+1 more|arXiv (Cornell University)|Apr 9, 2017

Adversarial Robustness in Machine Learning被引用数 105

ひとこと要約

本論文では、機械学習分類器に対する回避攻撃に対する防御として、主成分分析（PCA）を用いた次元削減を提案する。分類の前に入力データの次元を低減することで、攻撃者が成功するための計算コストを増加させ、画像分類やマルウェア分類を含む多様なモデルや応用分野において耐性を向上させる。

ABSTRACT

We propose the use of dimensionality reduction as a defense against evasion attacks on ML classifiers. We present and investigate a strategy for incorporating dimensionality reduction via Principal Component Analysis to enhance the resilience of machine learning, targeting both the classification and the training phase. We empirically evaluate and demonstrate the feasibility of dimensionality reduction of data as a defense mechanism against evasion attacks using multiple real-world datasets. Our key findings are that the defenses are (i) effective against strategic evasion attacks in the literature, increasing the resources required by an adversary for a successful attack by a factor of about two, (ii) applicable across a range of ML classifiers, including Support Vector Machines and Deep Neural Networks, and (iii) generalizable to multiple application domains, including image classification, malware classification, and human activity classification.

研究の動機と目的

• 次元削減が機械学習モデルに対する戦略的回避攻撃の有効な防御機構として機能するかどうかを調査すること。
• PCAが、攻撃者が成功する回避攻撃を設計するための困難さとリソース要件を高める有効性を評価すること。
• SVM や深層ニューラルネットワークを含む、さまざまな機械学習分類器にわたる防御の一般化可能性を評価すること。
• 画像分類、マルウェア検出、人間の行動認識などの多様な実世界の分野における防御の適用可能性をテストすること。
• 防御がモデルの性能を維持しつつ、回避攻撃に対する耐性を高めることを特定すること。

提案手法

• 機械学習分類器に供給する前に、入力データの次元を低減するために主成分分析（PCA）を適用すること。
• 一貫した次元削減を確保するため、分類パイプラインの学習段階と推論段階の両方にPCAを統合すること。
• 高次元の入力データを、最も識別的な特徴を保持する低次元の潜在空間に射影すること。
• 小さな、標的を絞った摂動が使用される回避攻撃に対して、分類器の意思決定境界を保持しつつ、それらに対する耐性を高めること。
• 特に摂動の大きさと探索作業の量に着目して、攻撃成功に要するコストの増加を測定することで、防御の有効性を評価すること。
• 複数のデータセットと分類器にわたって防御を適用し、その耐性と転送性を評価すること。

実験結果

リサーチクエスチョン

• RQ1 PCAによる次元削減は、機械学習分類器に対する回避攻撃のコストを実際に高めることができるか？
• RQ2 SVM や深層ニューラルネットワークのような異なる種類の分類器において、防御はどのように動作するか？
• RQ3 画像分類、マルウェア分類、行動分類のような多様な応用分野にわたって、防御は一般化可能か？
• RQ4 防御は、元の分類器の正確性と性能をどの程度維持するか？
• RQ5 防御は、成功する回避攻撃に必要な最小摂動サイズにどのように影響を与えるか？

主な発見

• PCAに基づく防御は、攻撃者が回避攻撃を成功させるために必要なリソースを約2倍に増加させる。
• 文献に報告された戦略的回避攻撃に対して防御は有効であり、複数の攻撃シナリオにおいて耐性を示している。
• SVM や深層ニューラルネットワークを含む、多様な機械学習分類器に適用可能である。
• 画像分類、マルウェア検出、人間の行動認識などの多様な応用分野にわたり、良好な一般化性能を示している。
• 再トレーニングやアーキテクチャの変更を必要とせず、高い分類器性能を維持しながら、回避攻撃に対する耐性を著しく高めることができる。
• PCAによる次元削減は、再訓練やアーキテクチャ変更を必要とせず、軽量でスケーラブルかつ効果的な防御メカニズムとして機能する。