[論文レビュー] Generative Dynamic Patch Attack

Xiang Li, Shihao Ji|arXiv (Cornell University)|Nov 8, 2021

Adversarial Robustness in Machine Learning参考文献 40被引用数 8

ひとこと要約

本稿では、最大の攻撃成功率を達成するために、敵対的パッチパターンと動的で画像固有の位置を同時に最適化する、エンド・ツー・エンドで微分可能なフレームワーク、Generative Dynamic Patch Attack (GDPA) を提案する。GDPA は複数のベンチマークで最先端の攻撃成功率を達成し、非常に高い耐性を持つ敵対的訓練を可能にし、多様なパッチ攻撃に対して顕著に防御性能を向上させる。また、最適化ベースのベースラインと比較して 40–50 倍高速である。

ABSTRACT

Adversarial patch attack is a family of attack algorithms that perturb a part of image to fool a deep neural network model. Existing patch attacks mostly consider injecting adversarial patches at input-agnostic locations: either a predefined location or a random location. This attack setup may be sufficient for attack but has considerable limitations when using it for adversarial training. Thus, robust models trained with existing patch attacks cannot effectively defend other adversarial attacks. In this paper, we first propose an end-to-end patch attack algorithm, Generative Dynamic Patch Attack (GDPA), which generates both patch pattern and patch location adversarially for each input image. We show that GDPA is a generic attack framework that can produce dynamic/static and visible/invisible patches with a few configuration changes. Secondly, GDPA can be readily integrated for adversarial training to improve model robustness to various adversarial attacks. Extensive experiments on VGGFace, Traffic Sign and ImageNet show that GDPA achieves higher attack success rates than state-of-the-art patch attacks, while adversarially trained model with GDPA demonstrates superior robustness to adversarial patch attacks than competing methods. Our source code can be found at https://github.com/lxuniverse/gdpa.

研究の動機と目的

• 固定またはランダムな位置を用いる従来のパッチ攻撃の限界に対処する。
• パッチパターンと最適な画像依存の位置を同時に学習できる汎用的でエンド・ツー・エンドで微分可能なフレームワークを開発する。
• 攻撃を敵対的訓練に統合することで、現実世界のパッチ攻撃に対してモデルの耐性を向上させる。
• 最適化ベースの手法（PGD や ROA など）と比較して、顕著に高速な推論速度を維持しながら、高い攻撃成功率を達成する。

提案手法

• GDPA は、各入力画像に対してパッチパターンとその空間的位置を同時に最適化するエンド・ツー・エンドで微分可能な最適化問題としてパッチ攻撃を定式化する。
• 同手法は、1回の順伝播でパッチの内容とその空間座標を出力する学習可能なパッチ生成器を用いる。
• 微分可能なレンダリングプロセスを採用し、予測された位置に敵対的パッチを入力画像に挿入する。
• 攻撃の目的関数は、パッチを挿入した入力に対するターゲットモデルの交差エントロピー損失を最大化することで、パッチと位置の両方のパラメータを逆伝播可能にする。
• 構成可能なハイパーパrameter を通じて、動的（画像固有）および静的（ユニバーサル）パッチ、および可視・非可視バージョンをサポートする。
• 攻撃を学習ループに統合することで、効率的な敵対的訓練を可能にし、多様なパッチ攻撃に対して耐性を持つモデルを生成する。

実験結果

リサーチクエスチョン

• RQ1 エンド・ツー・エンドで微分可能なフレームワークが、固定またはランダムな位置を用いる手法と比較して、パッチパターンと位置を同時に最適化することで攻撃成功率を向上させられるか？
• RQ2 GDPA の動的パッチ生成は、多様なデータセットおよびモデルにおいて、最先端のパッチ攻撃と比較してどの程度の攻撃成功率を達成するか？
• RQ3 GDPA を用いた敵対的訓練は、既存の防御手法と比較して、高名な物理的パッチ攻撃に対してどの程度の耐性向上を実現するか？
• RQ4 実用的な展開環境において、GDPA の推論速度は PGD や ROA といった最適化ベースの攻撃と比較してどの程度か？

主な発見

• GDPA は最先端の攻撃成功率を達成し、動的パッチを用いて VGGFace で 99.5%、ImageNet で 99.8% の成功率を記録し、既存手法を上回った。
• GDPA-AT で訓練されたモデルは、交通標識データセットでステッカー攻撃に対して 98.5% の精度を示し、ImageNet では LAVAN 攻撃に対しても 96.2% の精度を達成し、PGD-AT、DOA-Grad、DOA-Exh を上回った。
• GDPA-AT は優れた耐性を示し、VGGFace でのメガネ攻撃に対しても 300 イテレーション経過後も 94.9% の精度を維持したのに対し、DOA-Grad は 81.9% にとどまった。
• GDPA は PGD より 40 倍、ROA より 47 倍高速であり、1 攻撃あたり 1 回の順伝播で十分であるため、リアルタイム応用において極めて効率的である。
• アブレーションスタディにより、動的パッチ位置選択が攻撃成功率を顕著に向上させることを確認した。VGGFace では、ランダム配置時が 46.3% であったのに対し、動的配置時が 99.5% に上昇した。
• フレームワークは可視および非可視パッチの両方を成功裏に生成でき、アーキテクチャの変更なしに、さまざまな攻撃設定に柔軟に対応できることを示した。