[論文レビュー] Maximal Jacobian-based Saliency Map Attack

Rey Reza Wiyatno, Anqi Xu|arXiv (Cornell University)|Aug 23, 2018

Adversarial Robustness in Machine Learning参考文献 14被引用数 62

ひとこと要約

本論文は Non-Targeted JSMA (NT-JSMA) と Maximal JSMA (M-JSMA) を Jacobian-based Saliency Map Attack の柔軟な派生として導入し、固定ターゲットクラスや摂動方向の要件を取り除き、MNIST、Fashion-MNIST、CIFAR-10 のデータセット全体で有効性を示す。

ABSTRACT

The Jacobian-based Saliency Map Attack is a family of adversarial attack methods for fooling classification models, such as deep neural networks for image classification tasks. By saturating a few pixels in a given image to their maximum or minimum values, JSMA can cause the model to misclassify the resulting adversarial image as a specified erroneous target class. We propose two variants of JSMA, one which removes the requirement to specify a target class, and another that additionally does not need to specify whether to only increase or decrease pixel intensities. Our experiments highlight the competitive speeds and qualities of these variants when applied to datasets of hand-written digits and natural scenes.

研究の動機と目的

• 元の JSMA の制限を動機づけ、ターゲットクラスと摂動方向を指定する必要性を取り除く。
• NT-JSMA を提案し、ターゲットクラスを持たない非ターゲット misclassification を可能にする。
• M-JSMA を提案し、より速く高品質な敵を得るためにすべてのクラスターゲットと両方の摂動方向を探索する。
• MNIST、Fashion-MNIST、CIFAR-10 を用いて提案派生を評価し、敵対例の効率と知覚的類似性を比較する。

提案手法

• Jacobian-based Saliency Map Attack フレームワークを、固定ターゲットクラスと摂動方向の必要性を緩和する派生を導入して見直し、拡張する。
• サリエンシー測度とピクセル対摂動戦略を定義し、最大サリエンシーのペアを特定する。
• NT-JSMA 派生を導入し、選択したターゲットの信頼度を上げるよりも真のクラス信頼度を低下させる（またはターゲット不定戦略）ことを選択する。
• すべてのターゲットクラスと両方の摂動方向を同時に考慮し、振動を防ぐための履歴ベクトルを追加した Maximal JSMA (M-JSMA) を開発する。
• アルゴリズム 1 を提供し、ターゲット間で最もサリエントなピクセル対を選択し、epsilon近傍内でクリップされた摂動を適用する。
• 3つのデータセットを対象に、成功率、L0 と L2 距離、ソフトマックスエントロピーを用いて派生を評価する。

実験結果

リサーチクエスチョン

• RQ1 JSMA をターゲット不定にしても攻撃効率と知覚品質を維持できるか。
• RQ2 摂動方向を指定する必要性を取り除くことで、複数のデータセットで実用的な攻撃性能が向上するか。
• RQ3 非ターゲットと最大派生が、MNIST、Fashion-MNIST、CIFAR-10 での速度（反復回数）と知覚的類似性（L2）においてどう比較されるか。
• RQ4 提案派生は防御蒸留や他の一般的なニューラルネット防御に対して堅牢か。

主な発見

• M-JSMA は、JSMA 派生と比較してまたはそれ以上の速度（より少ないピクセル変更）で敵を見つけることが多く、すべてのターゲットクラスと摂動方向にも対応する。
• NT-JSMA 派生は、固定ターゲットクラスを必要とせず競争力のある攻撃性能を提供し、収束や品質の損失は控えめである。
• データセット全体で、ピクセル強度を増加させるバージョンは収束が速い傾向があり、減少させるバージョンは背景が暗くなるため知覚的類似性が向上することが多い。
• ピクセル低減定義派生（JSMA-F/NT-JSMA-F）は L2 摂動を小さくする傾向があり、ターゲットZベース派生は時に敵対的予測の不確実性を低くすることがある。
• M-JSMA は MNIST、Fashion-MNIST、CIFAR-10 全体で強い収束速度と高品質な敵対例を達成し、同様の反復で他の派生を知覚指標で上回ることが多い。
• 防御蒸留（T=100）は F-派生の有効性を大幅に低減するが、Zベース派生は蒸留モデルでも成功することがあり、防御に対する派生依存の堅牢性を示す。
• より小さな特徴ごとの摂動（|θ|=0.1, ε=0.5）は収集距離を小さくするが、反復回数が多くなる代わりに、M-JSMA は有利な性能を維持する。