[論文レビュー] RAID: Randomized Adversarial-Input Detection for Neural Networks

Hasan Ferit Enişer, Maria Christakis+1 more|arXiv (Cornell University)|Feb 7, 2020

Adversarial Robustness in Machine Learning参考文献 51被引用数 13

ひとこと要約

RAIDは、良性サンプルと悪意のあるサンプルの間のニューロン活性化パターンの違いを特定することで、悪意のある入力を検出する新しい、頑健な画像検出手法である。SADL や mMutant といった最先端の手法と比較して、6種類の攻撃タイプで最大88%の性能向上を達成でき、P-RAIDと組み合わせることで検出に注意を向ける攻撃者に対しても効果を失わず耐性を発揮できる。

ABSTRACT

In recent years, neural networks have become the default choice for image classification and many other learning tasks, even though they are vulnerable to so-called adversarial attacks. To increase their robustness against these attacks, there have emerged numerous detection mechanisms that aim to automatically determine if an input is adversarial. However, state-of-the-art detection mechanisms either rely on being tuned for each type of attack, or they do not generalize across different attack types. To alleviate these issues, we propose a novel technique for adversarial-image detection, RAID, that trains a secondary classifier to identify differences in neuron activation values between benign and adversarial inputs. Our technique is both more reliable and more effective than the state of the art when evaluated against six popular attacks. Moreover, a straightforward extension of RAID increases its robustness against detection-aware adversaries without affecting its effectiveness.

研究の動機と目的

• 多様な攻撃タイプにわたる既存の悪意ある検出手法における一般化の欠如に対処すること。
• 攻撃固有のハイパーパrameterチューニングを必要とせずに効果的な検出メカニズムを開発すること。
• 検出を回避するために攻撃を適合させる適応的攻撃者に対する耐性を高めること。
• 実世界での導入に適した、シンプルで効果的かつ公開可能な検出フレームワークを提供すること。

提案手法

• RAIDは、ランダムに選択されたニューロンサブセットにおける活性化値の違いに基づいて、良性入力と悪意ある入力を区別する二次分類器を訓練する。
• ニューロン選択の整合性を保つために、固定されたランダムシードを用い、ハイパーパrameter選択への感受性を低減する。
• すなわち、目視では識別できないほどの摂動であっても、悪意ある入力は良性入力とは異なる活性化パターンを示すという観察を活用する。
• P-RAIDは、推論時にニューロン選択プロセスにランダム化を導入することで、適応的攻撃者に対する耐性を向上させる。
• 主ネットワークのアーキテクチャを変更する必要がなく、軽量なオンライン検出器として動作する。
• 標準的な指標（AUC や EER）を用いて、複数の攻撃タイプとデータセットで検出メカニズムを評価する。

実験結果

リサーチクエスチョン

• RQ1 攻撃固有のハイパーパrameterチューニングを必要とせず、ニューロン活性化の違いに基づく検出手法は、多様な悪意ある攻撃タイプに一般化可能か？
• RQ2 SADL や mMutant といった最先端の検出手法と比較して、RAIDの性能と安定性はいかがなものか？
• RQ3 検出メカニズムを標的にする適応的攻撃者に対しても、RAIDは効果的に機能し続けることができるか？
• RQ4 ニューロン選択のランダム化が、回避攻撃に対する検出の耐性に与える影響は何か？
• RQ5 Carlini & Wagner (CW) や DeepFool (DF) といった強力な攻撃に対して、RAIDはどのように性能を発揮するか？

主な発見

• RAIDは、Carlini & Wagner (CW) や DeepFool (DF) を含む最も強力な攻撃に対しても90%のAUCスコアを達成し、高い検出性能を示した。
• 6つの代表的な悪意ある攻撃タイプにおいて、SADL や mMutant より最大88%の検出効果の向上を達成した。
• PGD、BIM、FGSM といった弱い攻撃に対しては、RAIDは完全な検出（100%の真正陽性率）を達成した。
• P-RAIDの拡張は、検出効果を維持したまま、検出に注意を向ける攻撃者に対する耐性を顕著に高めた。
• RAIDは広範なハイパーパrameter範囲で安定した性能を示し、設定選択への感受性が低いことが示された。
• 未知の攻撃タイプに対しても効果を発揮するため、強力な一般化能力を示した。