[論文レビュー] Enhancing Generalization of Universal Adversarial Perturbation through Gradient Aggregation

Xuannan Liu, Yaoyao Zhong+3 more|arXiv (Cornell University)|Aug 11, 2023

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本稿では、勾配消失を軽減し、悪くない局所最適解から脱出することを目的として、汎用的 adversarial パーティクル（UAP）の一般化を向上させるための新しい手法である Stochastic Gradient Aggregation（SGA）を提案する。SGA は小バッチ勾配を用いた内側の事前探索を実行し、それらを統合して安定した1ステップ更新を行う。この手法により、UAP の転送性が著しく向上し、ImageNet において平均 95.95% のだまし成功率を達成し、最先端手法を上回る性能を示した。

ABSTRACT

Deep neural networks are vulnerable to universal adversarial perturbation (UAP), an instance-agnostic perturbation capable of fooling the target model for most samples. Compared to instance-specific adversarial examples, UAP is more challenging as it needs to generalize across various samples and models. In this paper, we examine the serious dilemma of UAP generation methods from a generalization perspective -- the gradient vanishing problem using small-batch stochastic gradient optimization and the local optima problem using large-batch optimization. To address these problems, we propose a simple and effective method called Stochastic Gradient Aggregation (SGA), which alleviates the gradient vanishing and escapes from poor local optima at the same time. Specifically, SGA employs the small-batch training to perform multiple iterations of inner pre-search. Then, all the inner gradients are aggregated as a one-step gradient estimation to enhance the gradient stability and reduce quantization errors. Extensive experiments on the standard ImageNet dataset demonstrate that our method significantly enhances the generalization ability of UAP and outperforms other state-of-the-art methods. The code is available at https://github.com/liuxuannan/Stochastic-Gradient-Aggregation.

研究の動機と目的

• 既存の汎用的 adversarial パーティクル（UAP）手法における一般化の悪さの根本的要因を解明すること。
• 小バッチ UAP 訓練における勾配不安定性と量子化誤差の二重の課題に対処すること。
• 小バッチ最適化（勾配消失）と大バッチ最適化（悪い局所最適解）のトレードオフを克服すること。
• 多様なモデルやサンプル間での UAP の転送性とロバスト性を向上させること。
• アーキテクチャの変更を要せず、シンプルで効果的かつ統合可能な UAP 一般化を向上させる手法を開発すること。

提案手法

• SGA は、各外側ステップで小バッチサンプルを用いて複数回の内側事前探索を実行する、外-外イテレーションフレームワークを採用する。
• 内側イテレーション中、量子化を経ずに勾配が計算され、蓄積され、勾配の安定性が保持される。
• すべての内側勾配が、量子化と外側更新の前に、1つの低分散勾配推定値に統合される。
• 統合された勾配を用いて汎用的摂動を更新することで、量子化誤差が低減され、収束の方向性が向上する。
• 本手法は、一般化を向上させるために小バッチ確率的最適化を活用するとともに、勾配統合によって更新を安定化させ、鋭い局所最小値からの脱出を可能にする。
• SGA は既存の勾配ベースの UAP 手法と互換性があり、モーメンタムやモデルアンサンブルなどの転送性向上技術とも容易に統合可能である。

実験結果

リサーチクエスチョン

• RQ1 現在の汎用的 adversarial パーティクル生成手法における一般化の悪さの主な要因は何か？
• RQ2 勾配不安定性と量子化誤差は、小バッチ UAP 訓練における勾配消失にどのように寄与しているか？
• RQ3 勾配統合は、UAP 生成における最適化の安定性と量子化誤差の低減に有効に機能するか？
• RQ4 SGA は多様なモデルやデータセット間で UAP の転送性を向上させるか？
• RQ5 内側バッチサイズや内側イテレーション回数といったハイパーパrameter は、SGA の性能にどのように影響を与えるか？

主な発見

• SGA は、5つの標準的な ImageNet モデルにおいて平均 95.95% のだまし成功率を達成し、最先端手法を上回った。
• アンサンブルモデル設定では、攻撃成功確率が最大 77.11% 向上し、強力な転送性を示した。
• 勾配統合は摂動統合を著しく上回り、勾配レベルでの統合が勾配分散の低減に不可欠であることを実証した。
• 内側バッチサイズが 10 の場合が最適な性能を示し、勾配推定における安定性と多様性のバランスを示している。
• 内側イテレーション回数 K=4（1枚の画像あたりの平均走査回数）が攻撃成功確率を最大化し、勾配空間の最適な探索が可能であることを示した。
• SGA は勾配計算あたりの計算コストを増加させることなく一般化を向上させ、効率を保ちながらもロバスト性を向上させた。