[論文レビュー] Evaluating the Robustness of Neural Networks: An Extreme Value Theory Approach

Tsui-Wei Weng, Huan Zhang+6 more|arXiv (Cornell University)|Jan 31, 2018

Adversarial Robustness in Machine Learning被引用数 185

ひとこと要約

本論文は、Extreme Value Theory を用いて推定される局所リプシッツ定数に基づく攻撃非依存のニューラルネットワークのロバストネスメトリクス CLEVER を導入し、ResNet、Inception-v3、MobileNet などの大規模モデルでその有効性を検証する。

ABSTRACT

The robustness of neural networks to adversarial examples has received great attention due to security implications. Despite various attack approaches to crafting visually imperceptible adversarial examples, little has been developed towards a comprehensive measure of robustness. In this paper, we provide a theoretical justification for converting robustness analysis into a local Lipschitz constant estimation problem, and propose to use the Extreme Value Theory for efficient evaluation. Our analysis yields a novel robustness metric called CLEVER, which is short for Cross Lipschitz Extreme Value for nEtwork Robustness. The proposed CLEVER score is attack-agnostic and computationally feasible for large neural networks. Experimental results on various networks, including ResNet, Inception-v3 and MobileNet, show that (i) CLEVER is aligned with the robustness indication measured by the $\\ell_2$ and $\\ell_\\infty$ norms of adversarial examples from powerful attacks, and (ii) defended networks using defensive distillation or bounded ReLU indeed achieve better CLEVER scores. To the best of our knowledge, CLEVER is the first attack-independent robustness metric that can be applied to any neural network classifier.

研究の動機と目的

• 攻撃手法に依存しない包括的なロバストネス指標の動機づけ。
• 分類器の出力差の局所リプシッツ定数の界限にロバストネスを関連づける。
• Cross Lipschitz 定数を推定するための Extreme Value Theory を用いたスケーラブルな推定手法を提案。
• 大規模アーキテクチャと防御済みネットワーク上で CLEVER を実証し、攻撃ベースの歪みとの整合性を示す。

提案手法

• 分類器出力のリプシッツ連続性を用いて最小敵対的歪みの正式な下限を導出。
• f_c(x) - f_j(x) に対するクロスリプシッツ定数 L_q^j を定義し、β_L = min_{j≠c} (f_c(x0) - f_j(x0)) / L_q^j をロバストネスの下限として確立。
• 摂動ボール内で勾配をサンプリングして局所クロスリプシッツ定数を推定し、それらの最大値を逆ウェイブull分布でモデル化。
• バッチごとの最大値に対して最尤推定を用いて a_W を局所リプシッツ境界の推定値とする。
• CLEVER スコアを CLEVER = g(x0) / a_W（ターゲット付き）またはターゲット間の最小値（ターゲットなし）として計算し、摂動半径 R で境界付ける。
• 勾配ノルムのサンプルが KS 検定で高い p 値を持つ逆ウェイブull分布に適合することを経験的に検証。
• ImageNet、CIFAR-10、MNIST に対して ResNet-50、Inception-v3、MobileNet を用い、防御手法として defensive distillation や bounded ReLU などを適用して CLEVER を評価。

実験結果

リサーチクエスチョン

• RQ1 任意のアーキテクチャに適用可能で大規模モデルへスケールする、攻撃非依存のロバストネス指標をニューラルネットワークに定義できるか。
• RQ2 提案された CLEVER スコアは、異なるノルムやネットワークタイプにわたる強力な攻撃特有の歪みと相関するか。
• RQ3 極値理論は高次元ニューラルネットワークにおける局所リプシッツ定数の信頼性が高く効率的な推定量を提供できるか。
• RQ4 防御されたネットワークは攻撃下での改善と整合する改善された CLEVER スコアを示すか。
• RQ5 CLEVER は攻撃ベースのロバストネス指標と標準データセットとアーキテクチャ全体でどのように比較されるか。

主な発見

• CLEVER は攻撃非依存であり、大規模なニューラルネットワーク分類器に適用可能。
• CLEVER スコアは敵対的例の L2 および Linf の歪みによって示されるロバストネス指標と一致する。
• 防御されたネットワーク（defensive distillation、bounded ReLU）は、無防御の counterparts よりも良い CLEVER スコアを達成。
• 勾配ノルムサンプルは逆ウェイブull 分布に良く適合し（KS 検定の高い p 値）、EVT ベースの推定手法を裏付ける。
• CLEVER は ImageNet モデル（ResNet-50、Inception-v3、MobileNet）へのスケーラビリティを示し、ノルムを跨ぐ実践的なロバストネスと相関。
• CLEVER はクロスリプシッツ定数を介して、非微分可能なネットワーク（例：ReLU ベース）にも拡張可能な形式的なロバストネス保証フレームワークを提供。