[論文レビュー] Is feature selection secure against training data poisoning?

Xiao Huang, Battista Biggio+4 more|arXiv (Cornell University)|Apr 21, 2018

Network Security and Intrusion Detection参考文献 40被引用数 287

ひとこと要約

本論文は、埋め込み特徴選択法（LASSO、リッジ、Elastic Net）の頑健性を Poisoning 攻撃の下で評価する枠組みを提供し、<5% poisoned data で LASSO がほぼランダムな特徴選択へと導かれ、精度を大幅に低下させることを示す。

ABSTRACT

Learning in adversarial settings is becoming an important task for application domains where attackers may inject malicious data into the training set to subvert normal operation of data-driven technologies. Feature selection has been widely used in machine learning for security applications to improve generalization and computational efficiency, although it is not clear whether its use may be beneficial or even counterproductive when training data are poisoned by intelligent attackers. In this work, we shed light on this issue by providing a framework to investigate the robustness of popular feature selection methods, including LASSO, ridge regression and the elastic net. Our results on malware detection show that feature selection methods can be significantly compromised under attack (we can reduce LASSO to almost random choices of feature sets by careful insertion of less than 5% poisoned training samples), highlighting the need for specific countermeasures.

研究の動機と目的

• セキュリティ上の重要なタスクにおける敵対的データ操作下での特徴選択の頑健性を研究する動機づけ。
• 特徴選択の attacker の目標、知識、能力をモデル化する formal framework の構築。
• 埋め込み特徴選択法（LASSO、リッジ、Elastic Net）に対する poisoning 攻撃を分析し、選択と分類への影響を定量化。
• マルウェア検知ケーススタディ（PDF マルウェア）を用いて実践的な意味を示し、対策を議論。

提案手法

• 特徴選択へ以前のセキュリティ評価を拡張する framework を提案し、攻撃者の目標、知識、能力の定義を含める。
• 特徴選択を損失関数の最小化（式 (Eq. 2)）と正則化を用いて重み w によるサブセットを選択する形としてモデル化。
• 毒物化を、トレーニングセットへ攻撃点を追加し、誤差を最大化する目的関数を最適化（式 (Eq. 3)）として定式化。
• 学習解法を KKT ベースの調整を通じて微分することで、毒物化攻撃の勾配を導出（式 (Eq. 7)）。
• 実行的な領域を維持しつつ複数の攻撃点を調整する反復的な毒物化アルゴリズム（Algorithm 1）を提示。
• surrogate-data（LK）設定を適用し、PDF マルウェア検出の文脈で PK/LK の整合性を検証。

実験結果

リサーチクエスチョン

• RQ1 埋め込み特徴選択法（LASSO、リッジ、Elastic Net）はトレーニングデータ Poisoning にどの程度脆弱か。
• RQ2 Poisoning が特徴選択の安定性と最終的な分類精度の両方に及ぼす影響は？
• RQ3 攻撃者の知識（完璧 vs 限定）は、特徴選択の Poisoning の効果に有意な差をもたらすか。
• RQ4 高次元のセキュリティタスクにおいて、どの正則化法が Poisoning に対してより頑健か。
• RQ5 Poisoning は上位特徴の安定性を stability 指標でどのように影響するか。

主な発見

• Poisoning がトレーニングデータの最大20%まで及ぶと LASSO の誤差が 2% から約 20% に増加。
• Elastic Net とリッジは Poisoning 下で LASSO よりやや頑健。
• Poisoning は選択された特徴の安定性を急速に低下させ、LASSO および Elastic Net では安定性指標が低 poisoning レベルでもほぼゼロに近づく。
• 攻撃下では特徴選択がほぼランダムとなり、攻撃者が選択された特徴を操作できる。
• リッジ回帰は3つの方法の中でより高い頑健性を示す。
• PK および LK 設定の結果は類似しており、代替データを用いることで完全なデータアクセスなしに効果的な毒物化を実現できることを示唆する。