[論文レビュー] Generating adversarial examples in the harsh conditions

Junde Wu|arXiv (Cornell University)|Aug 29, 2019

Adversarial Robustness in Machine Learning参考文献 29被引用数 4

ひとこと要約

本論文は、入力から悪意ある例への単一の普遍的マッピングを学習することで、厳しい条件下—標的指向、普遍的、かつ高い転送性—で効果的な悪意ある例を生成する普遍的悪意攻撃フレームワークを提案する。この手法は、多様なモデルやデータセットで高いだまし成功率を達成し、強力な頑健性と転送性を示している。

ABSTRACT

Deep Neural Networks have been found vulnerable re-cently. A kind of well-designed inputs, which called adver-sarial examples, can lead the networks to make incorrectpredictions. Depending on the different scenarios, goalsand capabilities, the difficulties of the attacks are different.For example, a targeted attack is more difficult than a non-targeted attack, a universal attack is more difficult than anon-universal attack, a transferable attack is more difficultthan a nontransferable one. The question is: Is there existan attack that can meet all these requirements? In this pa-per, we answer this question by producing a kind of attacksunder these conditions. We learn a universal mapping tomap the sources to the adversarial examples. These exam-ples can fool classification networks to classify all of theminto one targeted class, and also have strong transferability.Our code is released at: xxxxx.

研究の動機と目的

• 複数の厳しい条件を同時に満たす悪意ある例を生成する課題に対処すること。
• 特定のクラスに予測を誘導する標的指向（標的クラスへの予測を向ける）であり、かつすべての入力に適用可能な普遍的（universal）な攻撃を開発すること。
• 異なる深層ニューラルネットワークアーキテクチャやデータセット間で強い転送性を確保すること。
• 自然な入力を最小限の摂動で悪意ある例に変換する単一の普遍的マッピングを学習すること。

提案手法

• 分類ネットワークが単一の標的クラスに誤分類するように、入力画像を悪意ある例に変換する普遍的マッピング関数を訓練する。
• すべての入力に対して普遍的適用性と標的誤分類を同時に強制するための共同最適化目的関数を採用する。
• 多様なネットワークアーキテクチャに効果的な摂動を生成するため、勾配に基づく最適化戦略を用いる。
• 訓練中に転送性正則化項を実装し、未観測のモデルでのパフォーマンスを向上させる。
• 推論時に再計算なしに普遍的マッピングを適用することで、高速かつスケーラブルなデプロイを実現する。

実験結果

リサーチクエスチョン

• RQ1 単一の普遍的マッピングが、標的指向かつすべての入力に対して効果的な悪意ある例を生成できるか？
• RQ2 提案手法は、異なるディープラーニングモデル間で悪意ある例をどれほど効果的に転送できるか？
• RQ3 標的指向性、普遍性、転送性の3つの制約が同時に課された状況下でも、この手法がどれほど高いだまし成功率を維持できるか？
• RQ4 微調整なしに、未観測のモデルやデータセットに普遍的マッピングが一般化できるか？

主な発見

• 提案手法は、ImageNet や CIFAR-10 を含む複数のベンチマークデータセットで高い標的だまし成功率を達成した。
• 普遍的悪意ある例は強い転送性を示し、未観測のモデルを高成功率でだますことに成功した。
• 標準的な悪意攻撃訓練に対する頑健性にもかかわらず、この攻撃は効果性を維持しており、通常の悪意攻撃訓練に対する耐性があることが示された。
• 普遍的マッピングアプローチにより、推論時の計算オーバーヘッドが顕著に低減され、リアルタイムデプロイが可能になった。