[論文レビュー] PatchCensor: Patch Robustness Certification for Transformers via Exhaustive Testing

Yuheng Huang, Yuanchun Li+1 more|arXiv (Cornell University)|Nov 19, 2021

Adversarial Robustness in Machine Learning参考文献 27被引用数 5

ひとこと要約

PatchCensorは、推論時に複数のアテンションマスクの変異を全通りテストすることで、敵対的パッチに対して証明可能なロバスト性を達成するテスト時認証手法を提案する。少なくとも1つの推論で摂動を加えたパッチが除外されることを保証することで正しく予測が得られ、ImageNetでは2%-ピクセル敵対的パッチに対して67.1%の認証精度を達成し、元のViTと同等のクリーン精度を維持する。

ABSTRACT

Vision Transformer (ViT) is known to be highly nonlinear like other classical neural networks and could be easily fooled by both natural and adversarial patch perturbations. This limitation could pose a threat to the deployment of ViT in the real industrial environment, especially in safety-critical scenarios. In this work, we propose PatchCensor, aiming to certify the patch robustness of ViT by applying exhaustive testing. We try to provide a provable guarantee by considering the worst patch attack scenarios. Unlike empirical defenses against adversarial patches that may be adaptively breached, certified robust approaches can provide a certified accuracy against arbitrary attacks under certain conditions. However, existing robustness certifications are mostly based on robust training, which often requires substantial training efforts and the sacrifice of model performance on normal samples. To bridge the gap, PatchCensor seeks to improve the robustness of the whole system by detecting abnormal inputs instead of training a robust model and asking it to give reliable results for every input, which may inevitably compromise accuracy. Specifically, each input is tested by voting over multiple inferences with different mutated attention masks, where at least one inference is guaranteed to exclude the abnormal patch. This can be seen as complete-coverage testing, which could provide a statistical guarantee on inference at the test time. Our comprehensive evaluation demonstrates that PatchCensor is able to achieve high certified accuracy (e.g. 67.1% on ImageNet for 2%-pixel adversarial patches), significantly outperforming state-of-the-art techniques while achieving similar clean accuracy (81.8% on ImageNet). Meanwhile, our technique also supports flexible configurations to handle different adversarial patch sizes (up to 25%) by simply changing the masking strategy.

研究の動機と目的

• 安全で重要な応用分野におけるビジョントランスフォーマーの敵対的パッチ攻撃に対する脆弱性を解消すること。
• モデルの再トレーニングを必要とせず、テスト時における証明可能なロバスト性を提供すること。
• 元のモデルのクリーン精度を保ちながら高い認証精度を達成すること。
• 適応的マスキング戦略を用いて、異なる敵対的パッチサイズに柔軟に適合できるようにすること。

提案手法

• PatchCensorは推論時に複数の変異したアテンションマスクを生成することで、全通りのテストを実施する。
• 各入力は複数回の推論結果を投票によって評価し、少なくとも1回は敵対的パッチが除外されるように保証する。
• ビジョントランスフォーマーの構造的性質を活用し、アテンションヘッドの完全カバレッジテストを実現する。
• 異なるパッチを体系的に除外するマスキング戦略を用いて、その影響を検出・軽減する。
• マッピング集合の完全性に基づく統計的保証により、認証を達成する。
• 入力モalityに依存しないアプローチであり、特徴レベルのマスキングによりNLPタスクへも拡張可能である。

実験結果

リサーチクエスチョン

• RQ1 テスト時防御は、ビジョントランスフォーマーにおける敵対的パッチ攻撃に対して証明可能なロバスト性を提供できるか？
• RQ2 クリーン精度を低下させることなく、認証精度を最大化する方法は何か？
• RQ3 この手法は、異なる敵対的パッチサイズに柔軟に適合できるか？
• RQ4 ImageNetやGTSRBを含む多様なベンチマークで有効性を示せるか？
• RQ5 このマスキング戦略は、NLPにおけるテキストなど他のモダリティへ一般化可能か？

主な発見

• PatchCensorは、ImageNetにおける2%-ピクセル敵対的パッチに対して67.1%の認証精度を達成し、最先端手法を大きく上回る。
• モデルはImageNetで81.8%のクリーン精度を維持し、元のViTモデルと同等の性能を示す。
• 調整可能なマスキング戦略により、異なる敵対的パッチサイズに柔軟に適合できる。
• CIFAR-10、GTSRB、Food-101、PartImageNetでの評価により、多様なデータセットおよび実世界のシナリオにおいてもロバスト性が確認された。
• テスト時のみの動作であるため、計算コストが低く抑えられ、実用性とスケーラビリティに優れる。
• 特徴レベルでのマスキングであるため、この手法はNLPタスクへも拡張可能であり、入力モダリティに依存しない。