[論文レビュー] Image Shortcut Squeezing: Countering Perturbative Availability Poisons with Compression

Zhuoran Liu, Zhengyu Zhao+1 more|arXiv (Cornell University)|Jan 31, 2023

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

本稿では、摂動的可用性汚染（PAPs）によって低下したモデルの精度を効果的に回復する、単純な圧縮ベースの手法であるImage Shortcut Squeezing（ISS）を提案する。PAP摂動の周波数依存性—すなわち、わずかに訓練された代替モデルでは低周波数、完全に訓練されたモデルでは高周波数—を活用し、グレースケールおよびJPEG圧縮を用いてこれらのショートカットを除去することで、CIFAR-10の精度を81.73%まで回復させ、従来の対策より37.97ポイント上回り、一般化性能と効率性において adversarial training を上回る。

ABSTRACT

Perturbative availability poisons (PAPs) add small changes to images to prevent their use for model training. Current research adopts the belief that practical and effective approaches to countering PAPs do not exist. In this paper, we argue that it is time to abandon this belief. We present extensive experiments showing that 12 state-of-the-art PAP methods are vulnerable to Image Shortcut Squeezing (ISS), which is based on simple compression. For example, on average, ISS restores the CIFAR-10 model accuracy to $81.73\%$, surpassing the previous best preprocessing-based countermeasures by $37.97\%$ absolute. ISS also (slightly) outperforms adversarial training and has higher generalizability to unseen perturbation norms and also higher efficiency. Our investigation reveals that the property of PAP perturbations depends on the type of surrogate model used for poison generation, and it explains why a specific ISS compression yields the best performance for a specific type of PAP perturbation. We further test stronger, adaptive poisoning, and show it falls short of being an ideal defense against ISS. Overall, our results demonstrate the importance of considering various (simple) countermeasures to ensure the meaningfulness of analysis carried out during the development of PAP methods.

研究の動機と目的

• 摂動的可用性汚染（PAPs）に対して実用的かつ効果的な対策が存在しないという広く受け入れられている信念に挑戦すること。
• 12種類の最先端PAP手法が、単純な画像圧縮技術に対してどれほど脆弱であるかを調査すること。
• 汚染生成時に使用される代替モデルの種別に応じて、PAP摂動の周波数特性がどのように変化するかを明らかにすること。
• 一般化可能で効率的かつ精度の低下が最小限のPAPsに対する対策を開発すること。
• 提案されたISS防御に対して、ISSに適応したPAP手法の耐性を評価すること。

提案手法

• 汚染生成時に使用された代替モデルの種別に基づいて12種類のPAP手法を分類する：わずかに訓練された、完全に訓練された、代替モデルなし。
• PAP摂動の周波数特性を分析し、わずかに訓練された代替モデルでは低周波数のショートカットが生じ、完全に訓練されたモデルでは高周波数のショートカットが生じることを示す。
• グレースケール圧縮で低周波数ショートカットを除去し、JPEG圧縮で高周波数ショートカットを除去する、事前処理防御であるImage Shortcut Squeezing（ISS）を提案する。
• 分布のずれを避けるために、ISSを訓練データにのみ適用し、訓練データおよびテストデータの圧縮バージョンの両方でその性能を評価する。
• EMおよびTAPなどの低周波数と高周波数の摂動を組み合わせた混合摂動攻撃に対して、ISSの耐性をテストする。
• ISSを回避するように設計された適応的PAP手法に対して評価を行い、その有効性を検証するとともに、モデルの学習傾向に関する洞察を明らかにする。

実験結果

リサーチクエスチョン

• RQ1 最先端のPAP手法は、効果的な対策が存在しないという一般的な信念にもかかわらず、単純な画像圧縮に対して脆弱であるか？
• RQ2 汚染生成時に使用された代替モデルの種別は、PAP摂動の周波数特性にどのように影響するか？
• RQ3 異なる摂動周波数を持つ多様なPAP手法に対して、単一の圧縮ベース手法が効果的に対処できるか？
• RQ4 ISSは、Lpノルムの多様な環境における一般化性能とクリーンモデル精度のトレードオフという観点で、adversarial trainingと比べてどのように差をつけるか？
• RQ5 ISSを予測して設計された適応的PAP手法ですら検出を回避できるか？また、それらはモデルの学習傾向に関する何らかの洞察を明らかにするか？

主な発見

• ISSを汚染済みデータに適用することで、CIFAR-10のモデル精度が平均して81.73%まで回復し、従来の最良の事前処理ベースの対策を37.97ポイント上回った。
• ISSはデータ拡張や事前フィルタリングの対策を上回り、adversarial trainingと同等の性能を達成しながら、さまざまなLpノルムにおける一般化性能が著しく優れていた。
• 訓練データにのみISSを適用しても、分布のずれが最小限に抑えられ、テストデータも圧縮された場合とほぼ同一の性能を示すなど、高い有効性を維持した。
• この手法は非常に効率的で、再訓練を必要とせず、計算コストも最小限に抑えられており、adversarial trainingが高コストを伴うのとは対照的である。
• ISSを回避するように設計された適応的PAP手法ですら、高い汚染効果を維持できず、ISSが依然として強力な防御であることが示された。
• 本研究では、PAP摂動が代替モデルの訓練段階に強く依存しており、わずかに訓練されたモデルでは低周波数ショートカットが、完全に訓練されたモデルでは高周波数ショートカットが好まれることが明らかになった。