[論文レビュー] Query Attack via Opposite-Direction Feature:Towards Robust Image Retrieval

Zhedong Zheng, Liang Zheng+2 more|arXiv (Cornell University)|Sep 7, 2018

Adversarial Robustness in Machine Learning参考文献 81被引用数 9

ひとこと要約

本稿では、分類予測ではなく中間の深層特徴を標的とする、画像検索向けに特化した白ボックス敵対的攻撃であるOpposite-Direction Feature Attack (ODFA) を提案する。表現空間における特徴距離を最大化することで、目に見えない摂動で検索性能を著しく低下させ、高い攻撃成功率を達成する。また、ブラックボックス設定でも強力な転送性を示す。

ABSTRACT

Most existing works of adversarial samples focus on attacking image recognition models, while little attention is paid to the image retrieval task. In this paper, we identify two inherent challenges in applying prevailing image recognition attack methods to image retrieval. First, image retrieval demands discriminative visual features, which is significantly different from the one-hot class prediction in image recognition. Second, due to the disjoint and potentially unrelated classes between the training and test set in image retrieval, predicting the query category from predefined training classes is not accurate and leads to a sub-optimal adversarial gradient. To address these limitations, we propose a new white-box attack approach, Opposite-Direction Feature Attack (ODFA), to generate adversarial queries. Opposite-Direction Feature Attack (ODFA) effectively exploits feature-level adversarial gradients and takes advantage of feature distance in the representation space. To our knowledge, we are among the early attempts to design an attack method specifically for image retrieval. When we deploy an attacked image as the query, the true matches are prone to receive low ranks. We demonstrate through extensive experiments that (1) only crafting adversarial queries is sufficient to fool the state-of-the-art retrieval systems; (2) the proposed attack method, ODFA, leads to a higher attack success rate than classification attack methods, validating the necessity of leveraging characteristics of image retrieval; (3) the adversarial queries generated by our method have good transferability to other retrieval models without accessing their parameters, i.e.,the black-box setting.

研究の動機と目的

• 画像検索システムにおける耐性評価の不足に取り組むこと。特に敵対的摂動下での耐性評価を目的とする。
• 分類ベースの敵対的攻撃手法が画像検索タスクに適用された際の限界を特定すること。
• 検索ランク付け性能を低下させるために、深層特徴を直接操作する標的攻撃手法を開発すること。
• 白ボックスおよびブラックボックス設定における特徴レベル攻撃の有効性を検証すること。
• データベースを変更せずに、敵対的クエリのみで最先端の検索システムを効果的にだますことができるかを示すこと。

提案手法

• ODFAは、最終分類ヘッドではなく、検索モデルの中間深層特徴を標的とする白ボックス攻撃を定式化する。
• 表現空間における元のクエリ特徴と摂動を加えたクエリ特徴の間の角度距離を最大化する損失関数を導入する。
• 小さなステップサイズを用いた反復的最適化により、目に見えない摂動を生成し、クエリ特徴を元の特徴ベクトルの反対方向に押し出す。
• 摂動後のクエリが類似度ランク付けにおいて誤分類されるように、特徴距離メトリクスを明示的に考慮する。
• 内部パラメータにアクセスできない状況下でも、未観測の検索モデルに対して効果的なブラックボックス攻撃を可能にするように設計されている。
• 複数のデータセットおよび検索モデル（分類ベースおよびランクベースのアーキテクチャを含む）でアプローチを評価した。

実験結果

リサーチクエスチョン

• RQ1 画像検索システム（分類予測ではなく特徴類似度に依存する）に、敵対的攻撃を効果的に適用できるか？
• RQ2 標準的な分類ベースの敵対的攻撃手法が、なぜ画像検索タスクに適用された際に失敗するのか？
• RQ3 深層表現を操作する特徴レベル攻撃は、分類ベースの攻撃よりも画像検索においてより高い成功率を達成できるか？
• RQ4 提案されたODFA手法は、ブラックボックス検索モデルに対して強い転送性を示すか？
• RQ5 データベースを変更せずに、敵対的クエリのみで最先端の検索システムの性能を著しく低下させることができるか？

主な発見

• Market-1501データセットでは、ODFAによりRecall@1が92.70%から34.00%に、mAPが77.14%から21.52%に低下した。
• Cifar-10データセットでは、WideResNet-28モデルを攻撃した際、Top-1精度が0.34%に、Top-5精度が1.29%に低下した。
• ODFAは、評価されたすべてのベンチマークでFGSM（Fast Gradient Sign Method）を上回る攻撃成功率を達成し、検索特化型の設計の必要性を裏付けた。
• 本手法は強力な転送性を示し、モデルパラメータにアクセスできない状況下でも、未観測の検索モデルに対して効果的なブラックボックス攻撃が可能だった。
• 特徴空間の可視化により、敵対的例が常に元の特徴の反対方向に移動していることが確認され、ODFAのコアメカニズムが正当化された。
• 摂動は視覚的に認識不可能であり、攻撃が著しく検索性能を低下させつつも、スティーグラシーを維持していることが確認された。