[論文レビュー] On the Vulnerability of Capsule Networks to Adversarial Attacks

Félix Michels, Tobias Uelwer+2 more|arXiv (Cornell University)|Jun 9, 2019

Adversarial Robustness in Machine Learning参考文献 19被引用数 15

ひとこと要約

この論文は、アドバーシャル攻撃に対するキャプセルネットワーク（CapsNets）のロバスト性を評価し、それらが畳み込みニューラルネットワーク（ConvNets）よりも本質的に耐性があるとは限らないことを示している。MNIST、ファッション-MNIST、SVHN、CIFAR10の各データセット上で、CapsNetsとConvNetsに対して複数のホワイトボックス攻撃（Carlini-Wagner、バウンダリー、DeepFool、ユニバーサルノイズ）を適用した結果、両者に類似した脆弱性が確認された。一部のケースではCapsNetsがわずかに優れた摂動効率を示し、またアーキテクチャ間でのアドバーシャル例の転送性も観察された。

ABSTRACT

This paper extensively evaluates the vulnerability of capsule networks to different adversarial attacks. Recent work suggests that these architectures are more robust towards adversarial attacks than other neural networks. However, our experiments show that capsule networks can be fooled as easily as convolutional neural networks.

研究の動機と目的

• キャプセルネットワーク（CapsNets）が従来の畳み込みニューラルネットワーク（ConvNets）よりもアドバーシャル攻撃に対してより耐性があるかどうかを調査すること。
• Carlini-Wagner、バウンダリー、DeepFool、ユニバーサル摂動といったさまざまなホワイトボックス攻撃手法がCapsNetsに与える効果を評価すること。
• CapsNetsとConvNets間でのアドバーシャル例の転送性を、異なるデータセット上で比較すること。
• t-SNE可視化を用いて、CapsNetsとConvNetsに生成されたアドバーシャル摂動の視覚的および構造的差異を分析すること。
• 特に摂動の大きさと攻撃成功率の観点から、現実の攻撃条件下でもCapsNetsが優れたロバスト性を維持しているかどうかを評価すること。

提案手法

• 動的ルーティングとプライマリーキャプセルレイヤーを用いて、MNIST、ファッション-MNIST、SVHN、CIFAR10の各データセットでCapsNetsをマージン損失および再構成損失に基づいて学習した。
• 4つのアドバーシャル攻撃手法を適用した：Carlini-Wagner（標的攻撃、ホワイトボックス）、バウンダリー攻撃（クエリベース）、DeepFool（非標的）、ユニバーサル摂動攻撃。
• Carlini-Wagner攻撃において、入力制約を満たすためにtanh変換を用い、Adam最適化法で最適化を行った。
• DeepFoolおよびバウンダリー攻撃では各データセットごとに1,000個のアドバーシャル例を生成し、Carlini-Wagner攻撃ではκ=1で500個を生成した。ターゲットラベルはランダムに選択した。
• ユニバーサル摂動を生成する際、テストセットを10の部分に分割し、精度が50％未満になるように摂動を学習した。
• t-SNEを用いてユニバーサル摂動を可視化し、CapsNetsとConvNetsに生成された摂動の構造的差異を比較した。

実験結果

リサーチクエスチョン

• RQ1 キャプセルネットワークは、ホワイトボックスアドバーシャル攻撃に対して、畳み込みニューラルネットワークよりもより耐性があるのか？
• RQ2 Carlini-Wagner、バウンダリー、DeepFool、ユニバーサル摂動といった異なるアドバーシャル攻撃手法が、CapsNetsにおける摂動の大きさと成功確率において、どのように機能するのか？
• RQ3 アドバーシャル例は、CapsNetsとConvNetsの間でどの程度転送可能なのか？
• RQ4 CapsNetsに生成された摂動は、ConvNetsに生成された摂動と視覚的および構造的に異なるものなのか？
• RQ5 CapsNetsにおける動的ルーティングとベクトルベースの表現は、アドバーシャル入力に対して何らかの本質的耐性を提供するのか？

主な発見

• CapsNetsは、MNISTでは99.40％、ConvNetsでは99.39％という同等のテスト精度を達成しており、ロバストネス評価において公平な比較が可能であることが保証された。
• Carlini-Wagner攻撃では、ほとんどのデータセットでCapsNetsにおける摂動がConvNetsよりも小さく、CapsNetsでは攻撃効率がやや高い可能性が示された。
• DeepFool攻撃は、CapsNetsではConvNetsよりも劣った性能を示し、局所的な感度や勾配構造の違いが影響している可能性がある。
• アドバーシャル例はCapsNetsとConvNetsの間で効果的に転送可能であり、ConvNetsから生成された摂動はCapsNetsへの転送成功率が高く、逆はやや低かった。
• ユニバーサル摂動は視覚的に認識可能であり、t-SNE可視化では明確なクラスタリングパターンを示した。CapsNet固有の摂動はConvNetの摂動とは別々のクラスタを形成していた。
• 理論的利点があるとはいえ、強いホワイトボックス攻撃下ではCapsNetsはConvNetsほど耐性が高くなく、脆弱性のプロファイルは基本的に同等であることが判明した。