[論文レビュー] Generating Natural Adversarial Hyperspectral examples with a modified Wasserstein GAN

Jean-Christophe Burnel, Kilian Fatras+1 more|arXiv (Cornell University)|Jan 27, 2020

Digital Imaging for Blood Diseases参考文献 1被引用数 4

ひとこと要約

本稿では、ターゲット分類器の勾配を必要とせず、代わりにその予測値のみを用いて、自然な敵対的ハイパースペクトル例を生成する修正済みWasserstein GANを提案する。分類器の信頼度に基づいて真のデータ分布を再重み付けすることで、生成器は現実的で誤分類されるスペクトルを学習し、高い成功率（最大99％）を達成する。これは、非常に正確な分類器に対しても成立する。

ABSTRACT

Adversarial examples are a hot topic due to their abilities to fool a classifier's prediction. There are two strategies to create such examples, one uses the attacked classifier's gradients, while the other only requires access to the clas-sifier's prediction. This is particularly appealing when the classifier is not full known (black box model). In this paper, we present a new method which is able to generate natural adversarial examples from the true data following the second paradigm. Based on Generative Adversarial Networks (GANs) [5], it reweights the true data empirical distribution to encourage the classifier to generate ad-versarial examples. We provide a proof of concept of our method by generating adversarial hyperspectral signatures on a remote sensing dataset.

研究の動機と目的

• ターゲット分類器の勾配にアクセスできない状況でも、ハイパースペクトルデータ用の自然な敵対的例を生成すること。
• 分類器の勾配やアーキテクチャの詳細ではなく、予測値のみに依存するブラックボックス敵対的例生成手法を開発すること。
• リモートセンシング応用における敵対的例の現実性と耐性を向上させること。
• Data Fusion Contest 2018の実際のハイパースペクトルデータを用いて、本手法を評価すること。
• 敵対的成功確率とデータ忠実度の観点から、最先端のGANベース手法と本手法を比較すること。

提案手法

• 本手法は、勾配ペナルティを用いて評価器の1リプシッツ制約を強制する修正済みWGANを用い、安定した学習を実現する。
• 分類器の信頼度が低いサンプルに高い重みを割り当てることで、低信頼度のサンプルに基づいた再重み付けされたデータ分布を構築する。
• 生成器は、潜在ベクトルを、現実的でかつターゲットモデルによって誤分類されるハイパースペクトルシグネチャにマッピングするように訓練される。
• 評価器は、実データと生成された敵対的例を区別するように訓練され、損失関数は誤分類されたサンプルに重点を置くように変更される。
• 生成器は、生成されたスペクトルと再重み付けされた真のデータ分布との距離を最小化するように最適化され、自然性が促進される。
• 本手法はブラックボックス設定で動作し、分類器の勾配やアーキテクチャの詳細ではなく、予測値のみを必要とする。

実験結果

リサーチクエスチョン

• RQ1 ターゲット分類器の勾配にアクセスできない状況でも、自然な敵対的ハイパースペクトル例を生成できるか？
• RQ2 分類器の信頼度に基づく再重み付けされたデータ分布が、生成器に敵対的例の生成を導くのにどれほど有効か？
• RQ3 提案されたWGANベースの手法は、非常に正確な分類器を欺く現実的で敵対的なスペクトルを生成できるか？
• RQ4 敵対的成功確率とスペクトル忠実度の観点から、既存のGANベース敵対的例生成手法と比較して、本手法はどのように差をつけるか？
• RQ5 本手法は、分類器の精度が異なるさまざまなクラスに一般化可能か？

主な発見

• クロスウォークスクラスでは、元の分類器の正確さが5％であったが、本手法は99％の成功確率を達成した。
• 車クラスでは、分類器の正確さが39％であったが、10回の実行で81％の成功確率を達成した。
• 健全なグラスクラスでは、分類器の正確さが82％であったが、66％の成功確率を示し、相対的に正確なモデルに対しても有効であることが示された。
• 生成された敵対的スペクトルは、ターゲットクラスのスペクトル平均と標準偏差と非常に近い値を示しており、高い現実性と忠実度を示している。
• 文献[9]の最先端手法と比較して、本手法は特に低精度クラス（例：クロスウォークス）において、より綺麗で現実的な敵対的スペクトルを生成した。
• 本手法は、すべてのテスト対象クラスに対して敵対的例を正常に生成でき、ベースライン手法が完全に失敗したクラス（例：10,000イテレーション×100回実行の車クラス）に対しても成功した。