[論文レビュー] Foveation-based Mechanisms Alleviate Adversarial Examples

Yan Luo, Xavier Boix+3 more|arXiv (Cornell University)|Nov 19, 2015

Adversarial Robustness in Machine Learning参考文献 13被引用数 138

ひとこと要約

この論文は、認識された物体の周囲におけるCNNの局所的線形性を活用し、物体のスケールや平行移動に対する頑健性を応用することで、畳み込みニューラルネットワーク（CNN）における adversarial examples の影響を軽減する、視錐（foveation）に基づくメカニズムを提案する。CNNを焦点を当てた画像領域（視錐パッチ）に適用することで、摂動の影響を軽減し、視錐を狙った摂動に対しても、自然な状態に近い分類精度を回復させる。最小限の摂動においてImageNet上で30–40%の精度向上を達成する。

ABSTRACT

We show that adversarial examples, i.e., the visually imperceptible perturbations that result in Convolutional Neural Networks (CNNs) fail, can be alleviated with a mechanism based on foveations---applying the CNN in different image regions. To see this, first, we report results in ImageNet that lead to a revision of the hypothesis that adversarial perturbations are a consequence of CNNs acting as a linear classifier: CNNs act locally linearly to changes in the image regions with objects recognized by the CNN, and in other regions the CNN may act non-linearly. Then, we corroborate that when the neural responses are linear, applying the foveation mechanism to the adversarial example tends to significantly reduce the effect of the perturbation. This is because, hypothetically, the CNNs for ImageNet are robust to changes of scale and translation of the object produced by the foveation, but this property does not generalize to transformations of the perturbation. As a result, the accuracy after a foveation is almost the same as the accuracy of the CNN without the adversarial perturbation, even if the adversarial perturbation is calculated taking into account a foveation.

研究の動機と目的

• CNNがグローバルな線形分類器として機能するという一般的な仮説に挑戦すること。これは、adversarial examples の原因とされているとされている。
• 視錐（画像の局所的領域にCNN推論を集中させること）が、adversarial 摂動の影響を軽減できるかどうかを調査すること。
• CNNが物体変換（スケール、平行移動）に対して頑健であるという性質が、adversarial 摂動に対しても一般化するかどうかを評価すること。
• adversarial examples が視錐メカニズムの知識を用いて作成された場合でも、視錐によって分類精度を回復させられることを示すこと。
• 再訓練を必要としない、post-hoc な非 adversarial 訓練防御戦略としての視錐に基づく戦略を提案し、頑健性を向上させること。

提案手法

• この手法は、事前学習済みのCNN（AlexNet、GoogLeNet、VGG）を、画像の局所的パッチ（視錐領域）にのみ適用し、残りの画像は破棄する。
• 視錐領域は、物体のクロップ（正解のバウンディングボックス）、サリエンシーマップ、またはずらしたクロップを用いて選択し、視線の集中を模倣する。
• adversarial examples は、最小L2ノルムを伴うBFGSおよびシグンベース最適化を用いて生成され、さまざまな視錐スキームでテストされる。
• 分類スコアは、クリーンな物体と摂動の寄与度に分解され、視錐によって物体が分離され、摂動の影響が軽減される。
• このアプローチは、認識された物体の周囲におけるCNNの局所的線形性を仮定しており、摂動の変換に対して不変性がないため、視錐後には摂動の効果が低下する。
• 1シフト、埋め込み型、サリエンシーに基づくなど、複数の視錐戦略をテストし、adversarial な作成に対して頑健であることを示す。

実験結果

リサーチクエスチョン

• RQ1 認識された物体の周囲におけるCNNの挙動は、グローバルには非線形に見えるとしても、依然として局所的に線形のままであるか？
• RQ2 物体のスケールおよび平行移動に対するCNNの不変性を活用することで、視錐メカニズムが adversarial 摂動の影響を軽減できるか？
• RQ3 CNNが物体変換に対して頑健であるという性質が、adversarial 摂動に対しても一般化するか、それとも摂動は視錐後でも効果を発揮するか？
• RQ4 adversarial 例の作成に用いられた視錐戦略とは異なる戦略でも、分類精度を回復させられるか？
• RQ5 adversarial 例が視錐に耐性を持つように作成されても、視錐が有効であることは、潜在的な防御機構を示唆するか？

主な発見

• 無視できない摂動が加えられた場合、ImageNetにおける adversarial 例の精度低下を視錐によって30–40%軽減し、クリーン画像の精度に近い水準に回復させる。
• BFGSで生成された摂動では、視錐後、誤分類を引き起こすまでにノルムが約5倍必要になることが示され、強い頑健性を示している。
• シグンベースの摂動では、視錐後、ノルムを5倍から8倍に増加させる必要があり、さらに本手法の有効性を裏付けている。
• 物体クロップを狙った視錐を意図して作成された adversarial 例（MP-Object）でも、代替の視錐戦略（例：1シフト、埋め込み型）によって軽減され、精度が最大10%向上する。
• 本手法は複数のCNNアーキテクチャ（AlexNet、GoogLeNet、VGG）で有効であり、特定のモデルに限定されない一般化性を示している。
• 物体クロップを用いた視錐後のトップ5精度は、AlexNetで0.8192、GoogLeNetで0.8939、VGGで0.9122に達しており、adversarial 条件下での視錐前の精度（0.0048、0.0104、0.0055）に比べて顕著に高い。