[論文レビュー] On the Limitations of Denoising Strategies as Adversarial Defenses

Zhong-Han Niu, Zhaoxi Chen+4 more|arXiv (Cornell University)|Dec 17, 2020

Adversarial Robustness in Machine Learning参考文献 36被引用数 10

ひとこと要約

この論文は、完全な摂動アクセスという強い仮定の下で、敵対的ノイズに直接適用することで、ノイズ除去ベースの防御の限界を調査する。特徴空間における周波数帯域ごとの適応的圧縮戦略を提案し、強力なPGD攻撃下で65.7%のロバスト精度を達成するなど、優れたロバスト性を示す。

ABSTRACT

As adversarial attacks against machine learning models have raised increasing concerns, many denoising-based defense approaches have been proposed. In this paper, we summarize and analyze the defense strategies in the form of symmetric transformation via data denoising and reconstruction (denoted as $F+$ inverse $F$, $F-IF$ Framework). In particular, we categorize these denoising strategies from three aspects (i.e. denoising in the spatial domain, frequency domain, and latent space, respectively). Typically, defense is performed on the entire adversarial example, both image and perturbation are modified, making it difficult to tell how it defends against the perturbations. To evaluate the robustness of these denoising strategies intuitively, we directly apply them to defend against adversarial noise itself (assuming we have obtained all of it), which saving us from sacrificing benign accuracy. Surprisingly, our experimental results show that even if most of the perturbations in each dimension is eliminated, it is still difficult to obtain satisfactory robustness. Based on the above findings and analyses, we propose the adaptive compression strategy for different frequency bands in the feature domain to improve the robustness. Our experiment results show that the adaptive compression strategies enable the model to better suppress adversarial perturbations, and improve robustness compared with existing denoising strategies.

研究の動機と目的

• 良性精度のトレードオフを回避して、敵対的ノイズに直接適用することで、ノイズ除去ベースの防御戦略のロバスト性を評価すること。
• 空間的、周波数的、潜在的ドメインの3つの観点から、F-IFフレームワークに従って既存のノイズ除去防御を分類すること。
• 効果的なノイズ除去が行われても、敵対的摂動を抑制する能力に内在する限界を特定すること。
• 特徴空間内の異なる周波数帯域に特化した、新たな適応的圧縮戦略を提案し、防御のロバスト性を向上させること。
• 最小限の学習データで動作する軽量でモデルに依存しない防御メカニズムを構築し、ロバスト性を向上させること。

提案手法

• 著者たちは、対称的変換によるノイズ除去と再構成を特徴とするF-IFフレームワークを用いて、既存のノイズ除去防御を統一的に分析する。
• クリーン画像と敵対的例の両方へのアクセスを仮定し、敵対的摂動ηに直接適用することで、防御戦略を評価する。
• 特徴空間内の高周波数帯（HH, HL, LH）と低周波数帯（LL）に異なる圧縮レベルを適用する適応的圧縮戦略を提案する。
• 適応的圧縮と再構成モデル（ACM）は、この戦略に基づき、周波数特性に応じて敵対的成分を選択的に抑制可能である。
• この手法は、わずか数百枚の良性画像での学習で実現可能であり、下位の分類器や攻撃タイプに依存しない。
• 白ボックス攻撃（例：100イテレーションのPGD）および完全なモデルアクセスを持つ適応的攻撃シナリオの両方でロバスト性を評価する。

実験結果

リサーチクエスチョン

• RQ1 良性精度とは無関係に、敵対的ノイズに直接適用された既存のノイズ除去ベースの防御は、どの程度効果的か？

主な発見

• すべての敵対的ノイズが直接利用可能で完全にノイズ除去されたとしても、既存のノイズ除去戦略は強力なPGD攻撃下でロバスト精度が0%にまで低下し、高いロバスト性を達成できない。
• 適応的圧縮戦略は、ε=8のPGD攻撃下で65.7%のロバスト精度を達成し、既存のノイズ除去手法を大きく上回る。
• アブレーションスタディの結果、特定の周波数帯での防御のみでは性能が低下し、高周波数帯に防御を適用しない場合、最大23.5%の低下が生じる。
• 低周波数帯（LL）と高周波数帯（HH, HL, LH）を同時に防御することで最良の性能が得られ、マルチバンドの適応的圧縮の必要性が確認された。
• 提案されたACMモデルは、敵対的訓練（数千枚の画像が必要）よりもはるかに少ない学習データ（数百枚）で高いロバスト性を達成でき、モデルや攻撃タイプに依存しない。
• 完全なモデルアクセスを持つ適応的攻撃においても、ACMは3.3%の攻撃成功率を維持（敵対的訓練は3%）し、強力なロバスト性を示した。