[論文レビュー] Fighting Gradients with Gradients: Dynamic Defenses against Adversarial Attacks

Dequan Wang, An Ju+3 more|arXiv (Cornell University)|May 18, 2021

Adversarial Robustness in Machine Learning参考文献 64被引用数 8

ひとこと要約

本稿では、防御的エントロピー最小化を用いてテスト時にモデルと入力を動的に適応させる動的防御である dent を提案する。勾配とバッチ統計を活用することで、敵対的攻撃に対して、敵対的および通常の訓練を受けた両方のモデルの耐性を向上させ、CIFAR-10 における ϵ∞=8/255 の AutoAttack で、最先端の防御手法を 20 点以上上回る。

ABSTRACT

Adversarial attacks optimize against models to defeat defenses. Existing defenses are static, and stay the same once trained, even while attacks change. We argue that models should fight back, and optimize their defenses against attacks at test time. We propose dynamic defenses, to adapt the model and input during testing, by defensive entropy minimization (dent). Dent alters testing, but not training, for compatibility with existing models and train-time defenses. Dent improves the robustness of adversarially-trained defenses and nominally-trained models against white-box, black-box, and adaptive attacks on CIFAR-10/100 and ImageNet. In particular, dent boosts state-of-the-art defenses by 20+ points absolute against AutoAttack on CIFAR-10 at $ε_\infty$ = 8/255.

研究の動機と目的

• 進化する敵対的攻撃に対応できない静的防御の限界を解決する。
• 反復的で勾配に基づく攻撃に脆弱な既存の防御を克服するため、推論時にリアルタイムでの適応を可能にする。
• 再訓練を必要とせず、既存のモデルと学習手順と互換性を持つテスト時適応手法を開発する。
• 白ボックス、ブラックボックス、適応的攻撃を含む多様な攻撃に対して耐性を向上させつつ、自然データにおける性能劣化を最小限に抑える。
• 攻撃が進化する中で「最後の手」を打てる戦略的優位性を、テスト時の動的適応が提供することを示す。

提案手法

• 防御的エントロピー最小化（dent）をテスト時の最適化目的関数として提案し、モデルの信頼性を最大化し、不確実性を低減する。
• テスト時適応技術にインspiredされ、勾配とバッチ統計を用いて推論中にモデルパラメータと入力データの両方を適応させる。
• テスト中にモデルと入力を反復的に更新し、各敵対的例に対して異なる防御設定に直面させる。
• テスト時に更新されたバッチ正規化統計を用いて動的適応を可能にし、アブレーションでバッチサイズに敏感であることが示された。
• 学習時に更新を加えず、推論時にのみ更新を適用することで、事前学習済みモデルと既存の防御と互換性を維持する。
• 入力からの勾配情報を活用して防御的更新を誘導し、敵対的勾配に対して防御的勾配で対抗する。

実験結果

リサーチクエスチョン

• RQ1 テスト時の適応は、静的防御を回避する適応的で勾配に基づく敵対的攻撃に対して耐性を向上させることができるか？
• RQ2 推論中にモデルと入力を動的に適応させることで、敵対的レースにおいて静的防御に比べ戦略的優位性が得られるか？
• RQ3 CIFAR-10 や ImageNet といった標準ベンチマークで、白ボックス、ブラックボックス、適応的攻撃に対して dent はどのように性能を発揮するか？
• RQ4 バッチサイズとパラメータ化が動的防御の耐性と安定性に与える影響は何か？
• RQ5 dent は再訓練を必要とせず、敵対的訓練済みモデルおよび通常のモデルに適用可能か？また、自然精度にどのような影響を与えるか？

主な発見

• CIFAR-10 における ϵ∞=8/255 の AutoAttack で、最先端の敵対的訓練済み防御の耐性が dent により 20 点以上絶対的に向上した。
• CIFAR-10 において、dent は最高の既存防御の耐性を AutoAttack に対して 57.3% まで向上させ、AutoAttack ランキングで 15 点以上のリードを確保した。
• 訓練時のバッチ統計を使用した場合、小さなバッチサイズでも自然精度が 86.6% を維持し、推論時のバッチサイズに強く、耐性があることが示された。
• テスト時のバッチ統計を使用した場合、バッチサイズが 10 未満では性能が著しく低下し、適応過程でのバッチ統計に敏感であることが明らかになった。
• アブレーションスタディにより、dent の性能は適応イテレーション数とモデルパラメータ化に敏感であることが確認され、最適な結果は中程度の設定で得られた。
• 白ボックス、ブラックボックス、適応的攻撃のすべてにおいて、CIFAR-10 と ImageNet の両方で既存の防御を上回り、広範な耐性を示した。