[論文レビュー] PatchGuard++: Efficient Provable Attack Detection against Adversarial Patches

Chong Xiang, Prateek Mittal|arXiv (Cornell University)|Apr 26, 2021

Adversarial Robustness in Machine Learning参考文献 18被引用数 25

ひとこと要約

PatchGuard++ は特徴空間の領域をマスクし予測の合意を検証することで敵対的パッチ攻撃を検出し、高解像度画像でクリーン精度と証明可能な頑健性の両立を達成する。

ABSTRACT

An adversarial patch can arbitrarily manipulate image pixels within a restricted region to induce model misclassification. The threat of this localized attack has gained significant attention because the adversary can mount a physically-realizable attack by attaching patches to the victim object. Recent provably robust defenses generally follow the PatchGuard framework by using CNNs with small receptive fields and secure feature aggregation for robust model predictions. In this paper, we extend PatchGuard to PatchGuard++ for provably detecting the adversarial patch attack to boost both provable robust accuracy and clean accuracy. In PatchGuard++, we first use a CNN with small receptive fields for feature extraction so that the number of features corrupted by the adversarial patch is bounded. Next, we apply masks in the feature space and evaluate predictions on all possible masked feature maps. Finally, we extract a pattern from all masked predictions to catch the adversarial patch attack. We evaluate PatchGuard++ on ImageNette (a 10-class subset of ImageNet), ImageNet, and CIFAR-10 and demonstrate that PatchGuard++ significantly improves the provable robustness and clean performance.

研究の動機と目的

• 物理的に実現可能な局所的敵対パッチに対する頑健な防御を動機づける。
• クリーンな精度を保ちながらパッチ攻撃を証明可能に識別する検出フレームワークを提案する。
• 小さな受容野の特徴抽出器を活用して破損した特徴を限定し、特徴空間のマスキングで不整合を検出する。
• ホワイトボックス適応攻撃の下で攻撃検出の証明可能な保証を提供する。

提案手法

• パッチによって破損する特徴数を制限する小さな受容野を持つ CNN を用いる。
• すべての可能な特徴空間位置にマスクを適用し、各マスクされた特徴マップの予測を得る。
• パッチが存在する場合のマスクされた予測間の不整合を識別して攻撃を検出する。
• すべての非中止のマスク予測が正しければ元の予測を返し、そうでなければ攻撃アラートを発する。
• すべての非中止のマスク予測が正しい場合、画像はパッチに対して証明可能に頑健であることを示す分析を提供する。

実験結果

リサーチクエスチョン

• RQ1 ホワイトボックス条件下で、マスキングベースの特徴空間アプローチは局所的な敵対的パッチを信頼性高く検出できるか？
• RQ2 PatchGuard++ は先行防御と比較してクリーン精度と証明可能な頑健性の両方を改善するか？
• RQ3 検出閾値設定と頑健性/精度のトレードオフはどのようになるか？
• RQ4 このアプローチは ImageNet や ImageNette のような高解像度データセットにどの程度スケールするか？

主な発見

Dataset	ImageNette Clean	ImageNette Robust	ImageNet Clean	ImageNet Robust	CIFAR-10 Clean	CIFAR-10 Robust
PatchGuard++ (τ=0.8)	96.9	87.7	62.9	28.0	84.8	68.9
PatchGuard++ (τ=0.7)	96.6	90.2	62.7	32.0	82.5	71.7
PatchGuard++ (τ=0.6)	96.1	91.8	62.1	35.5	80.2	74.3
PatchGuard++ (τ=0.5)	95.3	92.9	60.9	39.0	78.0	76.3
MR (McCoyd et al., 2020)	computationally infeasible	92.4	43.8	90.6	62.1	78.8	77.6

• PatchGuard++ は ImageNette (τ=0.6) で最先端のクリーンおよび証明可能な頑健性を達成し、クリーン 96.1%、証明可能頑健性 91.8%。
• ImageNet では、PatchGuard++ はクリーン精度で前防御を上回り約6%、証明可能頑健性で約13%上回る（τ=0.5）。
• CIFAR-10 では PatchGuard++ は証明可能頑健性で競争力を示し、Minority Report (MR) より計算量が大幅に少ない。
• 信頼度閾値 τ を下げると、クリーン精度よりも速く証明可能頑健性が向上し、好ましいトレードオフを示す。
• 先行する証明可能防御と比較して、PatchGuard++ は高解像度画像においてより高い精度とスケーラブルな攻撃検出を提供する。