[論文レビュー] Harmonic Adversarial Attack Method

Wen Heng, Shuchang Zhou+1 more|arXiv (Cornell University)|Jul 18, 2018

Adversarial Robustness in Machine Learning参考文献 27被引用数 4

ひとこと要約

本稿では、可視品質を維持しつつ高い転送性を実現するため、滑らかでエッジのない摂動を生成するために調和関数を用いる、新しい対抗的攻撃手法であるHarmonic Adversarial Attack Method (HAAM)を提案する。摂動のラプラシアンをゼロに制約することで、実世界の現象（照明や影）を模倣した自然な見た目の対抗的例を生成し、ベースライン手法と比較して優れた可視品質と強い転送性を達成する。

ABSTRACT

Adversarial attacks find perturbations that can fool models into misclassifying images. Previous works had successes in generating noisy/edge-rich adversarial perturbations, at the cost of degradation of image quality. Such perturbations, even when they are small in scale, are usually easily spottable by human vision. In contrast, we propose Harmonic Adversar- ial Attack Methods (HAAM), that generates edge-free perturbations by using harmonic functions. The property of edge-free guarantees that the generated adversarial images can still preserve visual quality, even when perturbations are of large magnitudes. Experiments also show that adversaries generated by HAAM often have higher rates of success when transferring between models. In addition, we find harmonic perturbations can simulate natural phenomena like natural lighting and shadows. It would then be possible to help find corner cases for given models, as a first step to improving them.

研究の動機と目的

• 対抗的攻撃における可視品質と転送性のトレードオフを解消すること。
• エッジが多くノイズが多い摂動を避けることで、自然画像と見分けがつかない対抗的例を生成すること。
• 自然な照明や影を模倣することで、現実世界のシナリオにおけるコーナーケースの発見を可能にすること。
• 調和関数を用いて現実的な対抗的例を生成することで、モデルのロバストネス評価を向上させること。

提案手法

• HAAMはラプラス方程式（∇²φ = 0）を解くことで摂動を生成し、エッジのない滑らかな摂動を保証する。
• 調和関数は解析的複素関数から構築され、パラメータのエンドツーエンド学習を可能にする。
• 空間周波数を低く保ちながら誤分類を最大化する摂動を生成するため、微分可能最適化フレームワークを採用する。
• エッジ保持度と視覚的品質を測定するために、ラプラシアンマップとEdge-SSIMを用いる。
• 視覚的リアルリズムの違いを調査するため、グレースケール版のHAAM-gとカラー版のHAAM-cの2つのバージョンを導入する。
• 照明勾配や影といった自然現象のシミュレーションが可能で、モデルのストレステストに有用である。

実験結果

リサーチクエスチョン

• RQ1 エッジが検出可能な摂動を導入せずに、視覚的リアリズムを向上させることができるか？
• RQ2 エッジのない摂動を生成することで、未知のモデル間での対抗的例の転送性が向上するか？
• RQ3 調和関数を用いることで、自然な照明や影といった現実世界の視覚的現象を対抗的例に再現できるか？
• RQ4 制御された人間評価の下で、HAAMが生成する対抗的例の視覚的品質は、既存手法と比較してどのように評価されるか？
• RQ5 HAAMが生成する例は、従来検出されなかった深層ニューラルネットワークの挙動に関するコーナーケースを明らかにできるか？

主な発見

• HAAM-gはFGSMとの主観的視覚的品質比較で96％の勝率を記録し、より優れた知覚的品質を示した。
• HAAM-cはFGSMとの比較で97％、BIMとの比較で98％の主観的評価で全バージョンを上回った。
• Edge-SSIM指標において、HAAMはすべてのターゲットモデルおよびEdge-SSIMスコアボックスで、他のすべての手法を一貫して上回った。
• HAAMが生成した対抗的例の99％以上が、[0.8, 1.0)のEdge-SSIMスコアに収束しており、優れたエッジ保持度と視覚的自然さを示した。
• 特にEdge-SSIM制約下で、SSIM > 0.933の高可視品質サブセットにおいて、FGSM や BIM よりも高い転送性を示した。
• 大きなε値で生成された対抗的例では、平坦な背景（例：空、海）に不自然なパターンが現れることがあり、このような状況では限界が見られた。