[論文レビュー] Image Transformation can make Neural Networks more robust against Adversarial Examples

Dang Duy Thang, Toshihiro Matsui|arXiv (Cornell University)|Jan 10, 2019

Adversarial Robustness in Machine Learning参考文献 32被引用数 8

ひとこと要約

この論文は、分類精度を回復するために画像回転を適用することにより、敵対的例に対する単純ながら効果的な防御を提案している。MNIST で FGSM によって生成された敵対的例を用いて、著者らは、敵対的例を 30–40 度回転させることで、99% 以上の正確性で正しい分類を回復させることを示した。これは、回転が敵対的摂動を破壊する一方で、自然画像の特徴を保持することを示している。

ABSTRACT

Neural networks are being applied in many tasks related to IoT with encouraging results. For example, neural networks can precisely detect human, objects and animal via surveillance camera for security purpose. However, neural networks have been recently found vulnerable to well-designed input samples that called adversarial examples. Such issue causes neural networks to misclassify adversarial examples that are imperceptible to humans. We found giving a rotation to an adversarial example image can defeat the effect of adversarial examples. Using MNIST number images as the original images, we first generated adversarial examples to neural network recognizer, which was completely fooled by the forged examples. Then we rotated the adversarial image and gave them to the recognizer to find the recognizer to regain the correct recognition. Thus, we empirically confirmed rotation to images can protect pattern recognizer based on neural networks from adversarial example attacks.

研究の動機と目的

• 画像変換（回転を含む）がニューラルネットワークにおける敵対的例の影響を軽減できるかどうかを調査すること。
• 敵対的摂動とその後の回転が加えられた場合のニューラルネットワークの頑健性を評価すること。
• 再訓練や複雑な防御を必要とせずに、回転によって敵対的例の正しい分類を回復できるかどうかを特定すること。
• 幾何変換が敵対的攻撃に対する軽量な防御メカニズムとして機能できることを実証的根拠で示すこと。

提案手法

• 摂動サイズ ε を用いて、Fast Gradient Sign Method (FGSM) を用いて MNIST で敵対的例を生成した。
• 分類回復の評価のために、さまざまな角度（0° から 90°）で敵対的画像に回転変換を適用した。
• 分類確率を回転前後で評価するために、事前に訓練された LeNet-5 モデルを使用した。
• 元の画像、敵対的画像、回転後の画像の分類正確性を測定し、性能を比較した。
• 正しい分類正確性がピークに達する最適な回転角度（例：39°、28°）を選定した。
• 予測クラス確率の変化を分析することで、敵対的影響が中和されたことを確認した。

実験結果

リサーチクエスチョン

• RQ1 画像の回転がニューラルネットワークにおける敵対的例の正しい分類を効果的に回復させることができるか？
• RQ2 敵対的画像の分類正確性がピークに達するのはどの回転角度か？
• RQ3 回転は、敵対的摂動を中和する一方で、元の画像の意味的コンテンツの整合性を保持するか？
• RQ4 ニューラルネットワークが敵対的画像に対して回転前後でどのように性能を示すか？
• RQ5 回転のような単純な幾何変換が、敵対的攻撃に対する実用的な防御メカニズムとして機能できるか？

主な発見

• 数字 1 が誤って 8 と分類された敵対的例を約 39 度回転させることで、分類正確性が 99.3% に回復した。
• 最初の実験では、10 個の敵対的例のうち 9 個が回転後に正しく再分類され、正確性が 99% を超えて回復した。
• 数字 6 を数字 9 に誤分類させる敵対的例に対しては、28 度回転させることで、正確な分類が 100% に回復した。
• 最適な回転後、標的の誤ったクラスの分類確率が 97.1% から 0.2% に低下した。
• 複数の敵対的例に対して一貫した性能を示し、元の画像の分類正確性の低下は最小限に抑えられた。
• モデルの再訓練や複雑なアーキテクチャ変更を必要とせずに、敵対的摂動を効果的に中和できた。