[論文レビュー] Protecting Against Image Translation Deepfakes by Leaking Universal Perturbations from Black-Box Neural Networks

Nataniel Ruiz, Sarah Adel Bargal+1 more|arXiv (Cornell University)|Jun 11, 2020

Adversarial Robustness in Machine Learning参考文献 42被引用数 8

ひとこと要約

本稿では、GANimation や StarGAN などの画像変換ディフェイクシステムを破壊する際のクエリ効率を低下させる、Leaking Universal Perturbations (LUP) と呼ばれる新しいブラックボックス攻撃手法を提案する。2段階のアプローチ——初期の漏洩フェーズで敵対的摂動から転送可能なPCA成分を抽出し、その後の利用フェーズでこれらの成分を用いる——を採用することで、最先端の手法と比較して平均クエリ数を30%削減する。

ABSTRACT

In this work, we develop efficient disruptions of black-box image translation deepfake generation systems. We are the first to demonstrate black-box deepfake generation disruption by presenting image translation formulations of attacks initially proposed for classification models. Nevertheless, a naive adaptation of classification black-box attacks results in a prohibitive number of queries for image translation systems in the real-world. We present a frustratingly simple yet highly effective algorithm Leaking Universal Perturbations (LUP), that significantly reduces the number of queries needed to attack an image. LUP consists of two phases: (1) a short leaking phase where we attack the network using traditional black-box attacks and gather information on successful attacks on a small dataset and (2) and an exploitation phase where we leverage said information to subsequently attack the network with improved efficiency. Our attack reduces the total number of queries necessary to attack GANimation and StarGAN by 30%.

研究の動機と目的

• モデルの重みや勾配が不明な現実世界のブラックボックス環境において、画像変換ディフェイクシステムが敵対的攻撃に対して脆弱であることを解消すること。
• 従来のブラックボックス攻撃が画像変換モデルに対して要する、非常に高いクエリ数を低減すること。
• ホワイトボックスアクセスを必要とせず、スケーラブルで効率的な方法を確立し、ディフェイク生成の実用的破壊を可能にすること。
• 初期攻撃からの転送可能な摂動を活用することで、その後の攻撃効率を向上させられることを示すこと。

提案手法

• LUPフレームワークは2段階のプロセスで構成される：短時間の漏洩フェーズでは、小規模なデータセットに従来のブラックボックス攻撃（例：SimBA）を適用して敵対的摂動を生成する。
• 漏洩フェーズでは、収集した摂動に主成分分析（PCA）を適用し、主要で転送可能な攻撃方向を抽出する。
• 利用フェーズでは、これらのPCA成分を、新しい画像をより効率的に標的とする修正版SimBAアルゴリズムの候補攻撃ベクトルとして用いる。
• 攻撃損失が飽和し成功が得られない場合、アルゴリズムはデフォルトの画像基底に戻り、攻撃を完了する。
• この方法は、異なる画像間の敵対的摂動の相関関係を活用することで、収束を高速化する。
• 本手法は、CelebAデータセット上のGANimation や StarGAN などの画像変換モデルに適用される。

実験結果

リサーチクエスチョン

• RQ1 ブラックボックス敵対的攻撃は、ディフェイク生成に用いられる画像変換モデルに効果的に適応可能か？
• RQ2 初期の敵対的攻撃から得られる情報は、その後の攻撃に要するクエリ数を削減するために活用可能か？
• RQ3 PCAで学習された摂動の転送性は、画像変換システムにおける攻撃効率を向上させるか？
• RQ4 LUP手法は、SimBA や Bandits-TD といった最先端のブラックボックス攻撃手法と比較して、クエリ効率および成功確率で優れているか？

主な発見

• LUPは、GANimation や StarGAN において、IT-SimBA と比較して、成功した攻撃に必要な平均クエリ数を約30%削減する。
• GANimation で10万枚の画像を攻撃するためにLUPが要する総クエリ数は3940万と推定され、IT-SimBAの5510万を下回り、1570万クエリの削減が達成された。
• 本手法はテストされたデータセットで100%の成功確率を達成しており、人間の観察者には人間が認識できないままの敵対的例を生成する。
• Bandits-TD は画像分類では有効であるが、画像変換設定では性能が劣り、おそらく時間ステップにわたる勾配相関が弱いためである。
• 漏洩フェーズは、転送可能な摂動パターンを効果的に捉えており、画像変換モデルが入力間で利用可能な相関関係を示していることを確認した。
• クエリ数が少ない段階での累積攻撃成功確率が、LUPでは顕著に高く、クエリ分布の左裾が長いヒストグラムからも明らかである。