[論文レビュー] How to Robustify Black-Box ML Models? A Zeroth-Order Optimization Perspective

Yimeng Zhang, Yuguang Yao+5 more|arXiv (Cornell University)|Mar 27, 2022

Adversarial Robustness in Machine Learning被引用数 12

ひとこと要約

本稿では、入力クエリと出力フィードバックのみを用いて、オートエンコーダーを介したノイズ除去スムージングと分散低減ゼロ次最適化を統合することで、機械学習モデルのロバスト性を高める、新しいブラックボックス防御手法 ZO-AE-DS を提案する。この手法は、先行手法と比較して著しく低いクエリ複雑性で、画像分類および画像再構築タスクの両方において、最先端の認証ロバスト性と高い精度を達成する。

ABSTRACT

The lack of adversarial robustness has been recognized as an important issue for state-of-the-art machine learning (ML) models, e.g., deep neural networks (DNNs). Thereby, robustifying ML models against adversarial attacks is now a major focus of research. However, nearly all existing defense methods, particularly for robust training, made the white-box assumption that the defender has the access to the details of an ML model (or its surrogate alternatives if available), e.g., its architectures and parameters. Beyond existing works, in this paper we aim to address the problem of black-box defense: How to robustify a black-box model using just input queries and output feedback? Such a problem arises in practical scenarios, where the owner of the predictive model is reluctant to share model information in order to preserve privacy. To this end, we propose a general notion of defensive operation that can be applied to black-box models, and design it through the lens of denoised smoothing (DS), a first-order (FO) certified defense technique. To allow the design of merely using model queries, we further integrate DS with the zeroth-order (gradient-free) optimization. However, a direct implementation of zeroth-order (ZO) optimization suffers a high variance of gradient estimates, and thus leads to ineffective defense. To tackle this problem, we next propose to prepend an autoencoder (AE) to a given (black-box) model so that DS can be trained using variance-reduced ZO optimization. We term the eventual defense as ZO-AE-DS. In practice, we empirically show that ZO-AE- DS can achieve improved accuracy, certified robustness, and query complexity over existing baselines. And the effectiveness of our approach is justified under both image classification and image reconstruction tasks. Codes are available at https://github.com/damon-demon/Black-Box-Defense.

研究の動機と目的

• モデルのアーキテクチャやパラメータが未知であるブラックボックスの機械学習モデルを防御する課題に取り組むこと。この際、入力-出力クエリにのみ依存する。
• 直接的なゼロ次最適化（ZO）による勾配推定に内在する高い分散が、ロバスト性を損なうという問題を克服すること。
• モデルのプライバシーを保ちつつ、強力な認証ロバスト性を達成できる実用的でスケーラブルな防御フレームワークを設計すること。
• 敵対的攻撃下での画像分類および画像再構築タスクの両方において、本手法を評価すること。

提案手法

• 第一階層の認証防御技術であるノイズ除去スムージング（DS）をブラックボックス設定に適応させた、一般化された防御操作を提案する。
• 勾配なしのゼロ次最適化（ZO）を統合することで、モデルの勾配や内部パラメータにアクセスせずに防御を可能にする。
• ZO勾配推定の分散を低減するためにオートエンコーダー（AE）を組み込み、最適化の安定性と収束性を向上させる。
• オートエンコーダーの潜在空間上で分散低減ゼロ次最適化を用いてDSを訓練する、ZO-AE-DSという防御フレームワークを構築する。
• 2段階の訓練プロセスを採用する：まずクリーンデータ上でオートエンコーダーを事前学習し、その後、ZOベースの最適化を用いてオートエンコーダーとDSを同時に訓練する。
• 効率的なZO勾配近似のため、ランダム勾配推定（RGE）と座標勾配推定（CGE）の組み合わせを採用する。

実験結果

リサーチクエスチョン

• RQ1 入力-出力クエリのみを用いて、認証可能な防御をブラックボックスモデルに効果的に適用できるか？
• RQ2 直接的な勾配計算が不可能な状況下で、ゼロ次最適化をどのように安定化させ、ロバストな防御に応用できるか？
• RQ3 オートエンコーダーは、ブラックボックス設定におけるZO勾配推定の分散を低減し、防御性能を向上させることができるか？
• RQ4 ZO-AE-DSは、既存のホワイトボックスおよびブラックボックス防御と比較して、ロバスト性、精度、クエリ効率の観点で優れているか？

主な発見

• ZO-AE-DSは、複数の画像分類および再構築タスクにおいて、FO-DS や ZO-DS と比較して競争力のある認証ロバスト性と、より高い標準精度を達成する。
• 画像再構築タスクでは、PGD攻撃下でもSSIMが 0.718（ℓ₂=1.0 時）、RMSEが 0.164 を維持し、ZO-DS や FO-DS を上回る性能を示す。
• ベースラインの ZO-DS と比較して、クエリ複雑性を顕著に低減しており、1回の更新あたりたった192クエリで、同等または優れた性能を達成する。
• 図5の可視化結果から、ZO-AE-DS は敵対的攻撃下でも画像品質を効果的に保持している一方、標準的および ZO-DS 手法では顕著な歪みが生じている。
• オートエンコーダー部は、第一階層とゼロ次最適化のギャップを効果的に埋め、ブラックボックス環境下でも安定的かつ効果的な学習を可能にする。