[論文レビュー] Improving the Transferability of Targeted Adversarial Examples through Object-Based Diverse Input

Junyoung Byun, Seungju Cho+3 more|arXiv (Cornell University)|Mar 17, 2022

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

本論文では、異なる視点と照明条件下で3次元オブジェクトに2次元の敵対的例を投影することで、標的攻撃の転送性を向上させる、新たなデータ拡張手法であるオブジェクトベース分散入力（ODI）を提案する。現実的な3次元レンダリングの多様性を活用することで、ImageNetにおける標的攻撃の平均成功率を、最先端手法と比較して28.3%から47.0%まで向上させる。

ABSTRACT

The transferability of adversarial examples allows the deception on black-box models, and transfer-based targeted attacks have attracted a lot of interest due to their practical applicability. To maximize the transfer success rate, adversarial examples should avoid overfitting to the source model, and image augmentation is one of the primary approaches for this. However, prior works utilize simple image transformations such as resizing, which limits input diversity. To tackle this limitation, we propose the object-based diverse input (ODI) method that draws an adversarial image on a 3D object and induces the rendered image to be classified as the target class. Our motivation comes from the humans' superior perception of an image printed on a 3D object. If the image is clear enough, humans can recognize the image content in a variety of viewing conditions. Likewise, if an adversarial example looks like the target class to the model, the model should also classify the rendered image of the 3D object as the target class. The ODI method effectively diversifies the input by leveraging an ensemble of multiple source objects and randomizing viewing conditions. In our experimental results on the ImageNet-Compatible dataset, this method boosts the average targeted attack success rate from 28.3% to 47.0% compared to the state-of-the-art methods. We also demonstrate the applicability of the ODI method to adversarial examples on the face verification task and its superior performance improvement. Our code is available at https://github.com/dreamflake/ODI.

研究の動機と目的

• 標的敵対的例の転送性を向上させるための従来の画像拡張技術における入力多様性の不足に対処すること。
• 2次元変換よりも現実的で多様なデータ拡張戦略として、3次元オブジェクトレンダリングが有効であるかどうかを検討すること。
• 現実世界の視覚的変化をシミュレートすることで、標的敵対的例のソースモデルへの過適合を軽減し、耐性を高めること。
• ODI手法が画像分類を越えて、顔認識タスクなどに一般化可能であることを示すこと。
• 広範なハイパーパrameterチューニングを必要とせず、ブラックボックス標的攻撃に実用的かつ効果的な手法を提供すること。

提案手法

• ODI手法は、敵対的例生成段階において、ピロウやマグカップなどの3次元オブジェクトの表面に2次元敵対的例を投影する。
• 複数の3次元ソースオブジェクトを用い、カメラ距離、視点角度、照明条件、背景タイプなどのレンダリングパラメータをランダム化する。
• 現実世界の視点、照明、遮蔽の変化に耐性を持つ敵対的例を生成するため、実際の視認条件を模擬する。
• 現実的な素材と照明モデルをサポートする3次元グラフィックスエンジンを用いてレンダリングを行い、多様で信頼性のある入力分布を確保する。
• 敵対的損失は、標準的な標的攻撃目的（例：交差エントロピー損失）を用いて最適化するが、投影された3次元レンダリング画像がターゲットクラスに分類されるように制約を課す。
• MI-FGSM や TI-FGSM などの既存の攻撃フレームワークと互換性があり、モーメンタムや仮想敵対的訓練などの技術と組み合わせ可能である。

実験結果

リサーチクエスチョン

• RQ1 2次元データ拡張と比較して、敵対的例を3次元オブジェクトに投影することで、ブラックボックスモデルへの転送性が向上するか？
• RQ2 カップやピロウなどの3次元オブジェクトの種別が、標的敵対的攻撃の成功率にどのように影響するか？
• RQ3 カメラの角度、照明、背景の多様性が、敵対的例の一般化性能に顕著に寄与するか？
• RQ4 ODI手法は、顔認識などの非画像分類タスクへも効果的に拡張可能か？
• RQ5 背景タイプやレンダリングパラメータの範囲が、最終的な攻撃成功率に与える影響は何か？

主な発見

• ODI手法は、4つのソースモデルと10つのターゲットモデルを対象に、ImageNetにおける平均標的攻撃成功率を28.3%から47.0%まで向上させ、最先端手法を顕著に上回った。
• ピロウやマグカップなどの多様な3次元オブジェクトのアンサンブルを用いることで、単一のオブジェクトを使用する場合よりも高い攻撃成功率が得られ、オブジェクトの多様性が一般化性能を向上させることを示した。
• ランダムなピクセル値の背景が、固体の黒色背景やぼやけた画像背景よりも優れており、特にこの条件下で最高の成功率が観測された。
• LFW顔認識ベンチマークでは、ODI-MI-TI-VTが、3つのブラックボックスモデルを対象に、模倣攻撃の成功率を平均で12.0%、回避攻撃を7.2%向上させた。
• 追加のハイパーパrameterチューニングを要せず、顕著な性能向上を達成したため、実用的かつ高い耐性を示した。
• カメラ距離と視点角度の範囲を広くすることで、攻撃成功率が上昇し、実用的な範囲内でより高いレンダリングの多様性が転送性を向上させることを確認した。