[論文レビュー] Efficient Certification of Spatial Robustness

Anian Ruoss, Maximilian Baader+2 more|arXiv (Cornell University)|Sep 19, 2020

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本稿では、滑らかさ制約を組み込んだ新しい凸緩和を用いて、空間ベクトル場攻撃に対して、最初の証明可能で頑健な認証手法を提示する。線形計画法により区間境界を厳密化し、最先端の検証ツールと統合することで、滑らかな変形を伴うMNISTおよびCIFAR-10において、DeepPolyでは最大76%、MILPでは最大89%の認証率を達成し、非滑らかまたは非構造的な攻撃と比較して、顕著に向上した頑健性保証を実現する。

ABSTRACT

Recent work has exposed the vulnerability of computer vision models to vector field attacks. Due to the widespread usage of such models in safety-critical applications, it is crucial to quantify their robustness against such spatial transformations. However, existing work only provides empirical robustness quantification against vector field deformations via adversarial attacks, which lack provable guarantees. In this work, we propose novel convex relaxations, enabling us, for the first time, to provide a certificate of robustness against vector field transformations. Our relaxations are model-agnostic and can be leveraged by a wide range of neural network verifiers. Experiments on various network architectures and different datasets demonstrate the effectiveness and scalability of our method.

研究の動機と目的

• 実世界の画像歪みで一般的な空間ベクトル場攻撃に対して、ニューラルネットワークの証明可能な頑健性保証が不足しているという問題に取り組む。
• ベクトル場変換下での変形画像に対する効率的でタイトな区間境界を計算する、モデルに依存しない手法を開発する。
• 既存のニューラルネットワーク検証ツールに滑らかさ制約を統合し、現実的で滑らかな変形に対する認証性能を向上させる。
• MNISTおよびCIFAR-10を含む多様なアーキテクチャとデータセットにおいて、スケーラビリティと有効性を実証する。
• 再現性および実用的導入を目的として、ERANフレームワーク内でのオープンソース実装を提供する。

提案手法

• 最大変位量（δ）と滑らかさ（γ）が有界なベクトル場によって変換された画像の画素値に対するタイトな区間境界を計算する、新しい凸緩和フレームワークを提案する。
• ベクトル場のリプシッツ連続性としてモデル化される滑らかさ制約を、変換パラメータに対する線形制約として表現する。
• 線形計画法を用いて、これらの線形制約の最適化問題を効率的に解き、既存の検証ツールとの統合を可能にする。
• 攻撃予算をδ（最大画素変位）とγ（ベクトル場の滑らかさ）のパラメータで定義し、変形タイプを精確に制御可能にする。
• 多チャンネル画像に対しては、出力形状をタイトなバウンディングボックスで過剰近似し、サンプリングを用いて近似誤差を推定する。
• 最先端の検証ツール（例：DeepPoly, MILP）にこれらの緩和を統合し、エンドツーエンドの頑健性認証を可能にする。

実験結果

リサーチクエスチョン

• RQ1 空間ベクトル場歪み（実世界の画像歪みで一般的）に対して、ニューラルネットワークの証明可能な頑健性認証を提供できるか？
• RQ2 滑らかさ制約（γ）を凸緩和に効果的に統合することで、境界をタイトにし、認証性能を向上させられるか？
• RQ3 提案手法の緩和は、非滑らかまたは非構造的攻撃と比較して、どの程度認証率を向上させるか？
• RQ4 本手法は、大規模なモデルや高解像度画像を含む、さまざまなネットワークアーキテクチャとデータセットに対して、どの程度スケーラブルか？
• RQ5 多チャンネル画像における区間境界はどの程度タイトか？また、サンプリングされた歪み画像との相対的な近似誤差はいかほどか？

主な発見

• γ = 0.1の場合、DeepPolyを用いたMNISTでは76%、MILPでは89%の認証率を達成し、γ = ∞の72%および87%と比較して顕著に向上した。
• CIFAR-10では、DeepPolyでγ = ∞の72%からγ = 0.1の76%へ、MILPで87%から89%へと認証率が上昇し、滑らかさ制約の有効性を示した。
• γ = 0.1の場合、1枚あたりの平均実行時間はDeepPolyで394秒、MILPで1168秒であり、計算量の増加にもかかわらずスケーラビリティを示した。
• ImageNetに対しても効率的にスケーリングでき、1枚あたりの区間境界計算は0.02秒、線形境界計算は平均236秒であった。
• 近似誤差解析の結果、バウンディングボックスの過剰近似がサンプリングされた歪み画像の98.76%～99.10%をカバーしており、高いタイトネスを示した。
• Balunovicらの手法と本研究の滑らかさ制約を組み合わせることで、優れた性能が得られ、前者単体では滑らかなベクトル場に対しては不十分であることが示された。