[論文レビュー] Frequency-Tuned Universal Adversarial Attacks

Yingpeng Deng, Lina J. Karam|arXiv (Cornell University)|Mar 11, 2020

Adversarial Robustness in Machine Learning参考文献 26被引用数 7

ひとこと要約

本稿では、人間のコントラスト感度に基づくJust-Noticeable-Difference (JND)しきい値を用いて周波数ドメインで最適化することで、普遍的 adversarial パーティクルを生成する新規手法である Frequency-Tuned Universal Adversarial Attacks (FTUAP) を提案する。局所的な周波数コンテンツに応じて摂動強度を調整することにより、FTUAP はベースラインの普遍的攻撃よりも高い欺瞞率を達成するとともに、特に中周波数帯および高周波数帯において優れた不可視性を維持する。白ボックス、ブラックボックス、防御付きモデルにおいても強力な性能を示している。

ABSTRACT

Researchers have shown that the predictions of a convolutional neural network (CNN) for an image set can be severely distorted by one single image-agnostic perturbation, or universal perturbation, usually with an empirically fixed threshold in the spatial domain to restrict its perceivability. However, by considering the human perception, we propose to adopt JND thresholds to guide the perceivability of universal adversarial perturbations. Based on this, we propose a frequency-tuned universal attack method to compute universal perturbations and show that our method can realize a good balance between perceivability and effectiveness in terms of fooling rate by adapting the perturbations to the local frequency content. Compared with existing universal adversarial attack techniques, our frequency-tuned attack method can achieve cutting-edge quantitative results. We demonstrate that our approach can significantly improve the performance of the baseline on both white-box and black-box attacks.

研究の動機と目的

• 既存の普遍的 adversarial 攻撃が空間ドメインのノルム（例：l∞）を固定して使用するが、人間の視覚認識を考慮しないという限界を解消すること。
• 人間のコントラスト感度に基づく周波数依存の Just-Noticeable-Difference (JND) しきい値を組み込むことで、普遍的摂動の不可視性を向上させること。
• 低周波数帯、中周波数帯、高周波数帯の異なる周波数帯が、普遍的 adversarial 攻撃の効果性と可視性に与える影響を調査すること。
• 白ボックスおよびブラックボックス設定、ならびに最先端の防御を備えたモデルに対しても攻撃性能を向上させること。

提案手法

• 本手法は、空間ドメインではなく離散コサイン変換（DCT）周波数ドメインで普遍的摂動を計算することで、周波数特化のチューニングを可能にする。
• 明度に基づくコントラスト感度のパラメトリックモデルから導出された JND しきい値を用い、各周波数帯ごとの摂動振幅を制限する。
• 摂動は、JND 制限を尊重しながら欺瞞率を最大化するように最適化され、知覚的な不可視性が保証される。
• 本手法では、個々の周波数帯（例：MF, HF, FF）または複数の組み合わせで攻撃を訓練することで、アブレーションスタディが可能になる。
• 摂動は空間ドメインに変換され、可視化および評価のための動的範囲と分布が分析される。
• 本手法は、トップ-1正答率と欺瞞率を指標として用いて、複数のモデル、防御付きモデルを含め評価される。

実験結果

リサーチクエスチョン

• RQ1 JND しきい値に基づく周波数ドメイン摂動チューニングは、普遍的 adversarial 攻撃の不可視性を向上させることができるか？
• RQ2 異なる周波数帯（低、中、高）は、攻撃の効果性と可視性のトレードオフにどのように影響するか？
• RQ3 周波数チューニングされた普遍的 adversarial 攻撃は、白ボックス、ブラックボックス、防御付きモデル設定において、標準的な普遍的攻撃を上回る性能を示すか？
• RQ4 JND に基づく制約は、中周波数帯および高周波数帯成分においてより最適な摂動解を導くことができるか？

主な発見

• FTUAP-FF（全周波数）は「quail」画像で100%の欺瞞率を達成し、「peacock」では99%を記録し、ベースラインのUAPを著しく上回った。
• 防御付きモデルを攻撃した際、VGG16ではトップ-1正答率が約15%低下し、GoogLeNetでは9%低下した。これに対し、UAPは4%未満の低下にとどまった。
• 中周波数帯および高周波数帯の摂動は、より高い欺瞞率と優れた不可視性を示し、FTUAP-MHF は「brain coral」で96%の欺瞞率を達成した。
• 空間ドメインにおける摂動値のヒストグラムは、全周波数攻撃ではガウス型の分布を示し、バランスの取れた自然なノイズであることが示された。
• 単一周波数帯分析では、中周波数帯および高周波数帯成分が JND 制限内で最適値に達する確率が高く、低周波数帯成分はしきい値制限のため頻繁にクリッピングされていた。
• 周波数チューニング手法は、効果性と不可視性のバランスをより良く達成でき、FTUAP-FF は全評価指標で優れた性能を示した。