[論文レビュー] $n$-ML: Mitigating Adversarial Examples via Ensembles of Topologically Manipulated Classifiers

Mahmood Sharif, Lujo Bauer+1 more|arXiv (Cornell University)|Dec 19, 2019

Adversarial Robustness in Machine Learning参考文献 84被引用数 5

ひとこと要約

この論文は、n-MLを提案する。n-MLは、敵対的入力を異なる方法で分類するように、トポロジーを操作して訓練された深層ニューラルネットワーク（DNN）のアンサンブルを用いて、投票の不一致によって敵対的入力を検出する防御手法である。最小限の精度低下で最先端の耐性を達成し、従来の防御よりも高速な推論を実現する。

ABSTRACT

This paper proposes a new defense called $n$-ML against adversarial examples, i.e., inputs crafted by perturbing benign inputs by small amounts to induce misclassifications by classifiers. Inspired by $n$-version programming, $n$-ML trains an ensemble of $n$ classifiers, and inputs are classified by a vote of the classifiers in the ensemble. Unlike prior such approaches, however, the classifiers in the ensemble are trained specifically to classify adversarial examples differently, rendering it very difficult for an adversarial example to obtain enough votes to be misclassified. We show that $n$-ML roughly retains the benign classification accuracies of state-of-the-art models on the MNIST, CIFAR10, and GTSRB datasets, while simultaneously defending against adversarial examples with better resilience than the best defenses known to date and, in most cases, with lower classification-time overhead.

研究の動機と目的

• 微小で目に見えない摂動によって最先端の深層ニューラルネットワークを回避する敵対的入力の増加する脅威に対処すること。
• 従来の防御でよく見られる、健全な分類精度を著しく低下させることなく、防御の耐性を向上させること。
• 検出に基づく防御において一般的に高い計算コストを伴うのに対し、推論時のオーバーヘッドを低減すること。
• DNNの制御されたトポロジー的変化を通じて、アンサンブルの各メンバー間に不一致を誘発させることで、敵対的入力を効果的に検出すること。
• 多様なデータセットや攻撃設定において高いパフォーマンスを維持する実用的でスケーラブルな防御を提供すること。

提案手法

• トポロジーの操作という、敵対的入力を訓練中にどのように分類すべきかを指定できる、新しい訓練技術を提案。これにより、健全な入力に対する高い精度を維持しつつ、敵対的入力の分類を制御可能にする。
• n-MLをn個のDNNのアンサンブルとして構築し、各DNNを異なるランダムに選択されたクラスラベルの入れ替え（置換）で訓練することで、トポロジーの多様性を誘導する。
• 分類のためにアンサンブル全体の多数決を用いる：多数のDNNが一致した場合にのみ入力を分類し、そうでない場合は敵対的入力としてマークする。
• 訓練中に正しい健全な入力の分類と、敵対的入力に対して指定された異なる予測を強制する、修正された損失関数を採用する。
• 複数のデータセット（MNIST、CIFAR10、GTSRB）と攻撃タイプ（$L_\infty$、$L_2$）を用い、ブラックボックス、 GRAYBOX、ホワイトボックスの設定で実験を実施する。
• nバージョンプログラミングの原則を活用し、敵対的入力がすべてのアンサンブルメンバーを同時に欺くことが unlikely になるようにすることで、耐性を高める。

実験結果

リサーチクエスチョン

• RQ1 トポロジーを操作して訓練されたDNNのアンサンブルは、従来の防御よりも敵対的入力をより効果的に検出できるか、かつ健全な分類精度を高い水準で維持できるか？
• RQ2 n-MLは、MNIST、CIFAR10、GTSRBといった異なるデータセットおよびブラックボックス、 GRAYBOX、ホワイトボックスといったさまざまな攻撃設定で、どのように性能を発揮するか？
• RQ3 トポロジーの操作は、健全な入力に対する性能を損なわせることなく、DNNが敵対的入力を異なる方法で分類することをどの程度可能にするか？
• RQ4 n-MLの推論速度は、最先端の敵対的検出手法と比べてどの程度高速か？
• RQ5 低クラス数の状況（例：$m=2$）ではn-MLにどのような限界があるか、そしてそれらをどのように是正できるか？

主な発見

• ブラックボックス設定下のCIFAR10において、n-MLは健全な分類精度94.50％を達成し、$\frac{8}{255}$の$L_\infty$ノイズを含むすべての敵対的入力に対して防御に成功した。これは、最先端の防御（87.24％の健全な精度、14.02％の敵対的入力が回避可能）を上回る結果であった。
• n-MLは、他の最先端の検出ベースの防御よりも最大で$\times$ 199.46高速な推論を実現し、顕著な効率性の向上を示した。
• この手法は、最先端のモデルと同等の健全な精度（例：CIFAR10における最良の標準DNNで95.38％）を維持しながら、優れた耐性を提供した。
• アンサンブルベースの投票メカニズムにより、強い攻撃に対しても、トポロジーを操作したDNN間の不一致が誘発され、敵対的入力の検出が効果的に行われた。
• この防御は、複数のデータセットおよび攻撃タイプ（$L_\infty$および$L_2$ノイズ）において、すべてのテストされた脅威モデル（ブラックボックス、 GRAYBOX、ホワイトボックス）で有効であった。
• 主な限界は、低クラス数の状況（例：$m=2$）で観察された。この場合、多様なアンサンブルを構築できる置換の数が少なすぎるため、代替のトポロジー操作技術の導入が求められる。