[論文レビュー] Evaluating and Understanding the Robustness of Adversarial Logit Pairing

Logan Engstrom, Andrew Ilyas+1 more|arXiv (Cornell University)|Jul 26, 2018

Adversarial Robustness in Machine Learning参考文献 11被引用数 85

ひとこと要約

本論文は、ImageNet に対する white-box の標的型敵対的攻撃の下で Adversarial Logit Pairing (ALP) の頑健性を評価し、ALP は頑健ではなく強力な PGD 攻撃で回避可能であることを示す。また、ALP の目的関数と損失地形の分析も行う。

ABSTRACT

We evaluate the robustness of Adversarial Logit Pairing, a recently proposed defense against adversarial examples. We find that a network trained with Adversarial Logit Pairing achieves 0.6% accuracy in the threat model in which the defense is considered. We provide a brief overview of the defense and the threat models/claims considered, as well as a discussion of the methodology and results of our attack, which may offer insights into the reasons underlying the vulnerability of ALP to adversarial attack.

研究の動機と目的

• ImageNet に対する white-box の標的型敵対的攻撃の下で Adversarial Logit Pairing (ALP) の頑健性を評価する。
• ALP が主張する頑健性を実証的攻撃と比較し、攻撃成功の上限を提供する。
• Madry らの堅牢化最適化（robust optimization）に関連して ALP の損失定式化を分析する。
• ALP により誘発される損失地形と攻撃の収束挙動を調べ、脆弱性を理解する。
• 実証的な頑健性と損失地形分析に基づく敵対的防御の評価手法を提案する。

提案手法

• 最大 1000 ステップまでの Projection Gradient Descent (PGD) を用いて ALP の評価を再現・拡張する。
• 標的型および非標的型の攻撃の両方を評価し、摂動下での攻撃者の成功率と精度を測定する。
• さまざまな摂動予算（epsilon）における ALP 学習モデルとベースライン（自然訓練済み）モデルを比較する。
• ALP の損失目的関数を分析し、Madry らの堅牢化最適化目的関数（式 1）と対比する。
• テスト点周りの損失地形を可視化して、ALP が誘発する最適化地形を特徴づける。
• 勾配法ベースの頑健性を評価するために攻撃の収束挙動を検討する。

実験結果

リサーチクエスチョン

• RQ1 標準的な摂動範囲の下で、ImageNet に対する white-box 標的型敵対的攻撃に対して ALP はどれだけ頑健か？
• RQ2 摂動強度が増すにつれて、ALP とベースラインモデルの攻撃者成功率とモデル精度はどのように比較されるか？
• RQ3 ALP の損失定式化は Madry らの堅牢化最適化目的とどう異なるか？
• RQ4 ALP が誘発する損失地形の特徴は何で、攻撃の収束にどう影響するか？
• RQ5 実証的な頑健性分析と損失地形の可視化は、敵対的防御の一般的評価ツールとなり得るか？

主な発見

• epsilon = 16/255 の白箱標的攻撃では、攻撃者の成功率は 98.6%、ALP の精度は 0.6% である。
• epsilon = 16/255 の非標的攻撃では、ALP の精度は 0.1% に低下する。
• ALP の目的関数は、自然入力で訓練することと、訓練中に標的型敵対的例を使用することで、堅牢化最適化の目的関数と異なる。
• ALP の損失地形は凹凸が大きく局所的に下がっていることがあり、入力周辺の最適化ダイナミクスが変化していることを示唆する。
• ALP に対する攻撃の収束にはより多くの勾配ステップが必要だが、結局は防御を打破することに成功する。
• 著者らは評価コードベースを提供し、敵対的防御を評価する一般的な実践として彼らの方法を推奨している。