[論文レビュー] RANDOM MASK: Towards Robust Convolutional Neural Networks

Tiange Luo, Tianle Cai+3 more|arXiv (Cornell University)|Jul 27, 2020

Adversarial Robustness in Machine Learning参考文献 35被引用数 16

ひとこと要約

本論文では、敵対的訓練を用いずに、ブラックボックス攻撃に対してCNNのロバスト性を向上させるシンプルで効果的な手法であるRandom Maskを提案する。訓練中に浅い層のフィルタをランダムにマスクすることで、CIFAR-10およびCIFAR-100で最先端のロバスト性を達成し、自然な精度を高く維持しながらPGDおよびFGSM攻撃の成功確率を顕著に低減する。

ABSTRACT

Robustness of neural networks has recently been highlighted by the adversarial examples, i.e., inputs added with well-designed perturbations which are imperceptible to humans but can cause the network to give incorrect outputs. In this paper, we design a new CNN architecture that by itself has good robustness. We introduce a simple but powerful technique, Random Mask, to modify existing CNN structures. We show that CNN with Random Mask achieves state-of-the-art performance against black-box adversarial attacks without applying any adversarial training. We next investigate the adversarial examples which 'fool' a CNN with Random Mask. Surprisingly, we find that these adversarial examples often 'fool' humans as well. This raises fundamental questions on how to define adversarial examples and robustness properly.

研究の動機と目的

• 人間には検出できないほどの微小な摂動が誤分類を引き起こすという、標準CNNの敵対的例に対する脆弱性を解消すること。
• 敵対的訓練（過学習に起因する）や勾配遮断（容易に回避可能）といった、既存の防御手法の限界を克服すること。
• 敵対的データ拡張や複雑な防御メカニズムに依存せずに、アーキテクチャの段階的設計からロバストなCNNを構築すること。
• 敵対的例の本質を、人間の視覚的類似性の観点から分析することで解明すること。
• 人間の知覚的類似性を踏まえて、敵対的例およびロバスト性の定義を再評価すること。

提案手法

• Random Maskを導入：訓練中に浅い層の固定されたフィルタをランダムにマスク（ゼロに設定）し、訓練および推論中は常に無効化された状態を維持する。
• Random Maskを、深さの浅い畳み込み層に限定的に適用する。深層部のマスクはロバスト性を劣化させる。
• 各フォワードパスでランダムにマスクするドロップアウトとは異なり、モデルごとに固定されたマスクを用いる。
• ResNet や VGG といった標準的なCNNに最小限のコード変更で統合可能であり、モデルアーキテクチャや推論速度に影響を与えない。
• 異なるマスクを用いた複数モデルのアンサンブル戦略（例：複数モデル）を適用し、さらなるロバスト性向上を図る。
• 敵対的データやデータ拡張を一切使用せず、標準的なクロスエントロピー損失を用いて、標準データセット（CIFAR-10, CIFAR-100）でモデルを訓練する。

実験結果

リサーチクエスチョン

• RQ1 敵対的訓練を用いずに、CNNアーキテクチャを本質的に敵対的攻撃に対してロバストにできるか？
• RQ2 浅い層に限ってRandom Maskを適用することで、ブラックボックス攻撃に対するロバスト性が顕著に向上するか？
• RQ3 Random Maskを搭載したCNNを欺く敵対的例が、人間の観察者に対しても同様に欺くのか。これは、現在の敵対的例の定義を疑問視するものか？
• RQ4 敵対的訓練を用いる最先端の防御手法と比較して、Random Maskのロバスト性はどの程度か？
• RQ5 Random Maskは、通常の精度-ロバスト性トレードオフを回避しながら、高い自然精度と強力なロバスト性を両立できるか？

主な発見

• Random Maskを搭載したCNNは、CIFAR-10でブラックボックス攻撃に対して最先端のロバスト性を達成し、PGD-8攻撃の防御成功率が94.14%に達する（標準ResNet-18の39.42%と比較）。
• 浅い層でのマスク比が0.9の場合、PGD-32攻撃に対しても85.46%の防御成功率を示し、標準モデルを著しく上回る。
• 自然テスト精度を高い水準で維持（例：CIFAR-10の0.5-Shallow-ENでは94.56%）、敵対的訓練でよく見られるクリーン精度の低下を回避する。
• Random Maskモデルを欺く敵対的例は、しばしば人間の被験者に対しても誤分類を引き起こす。ネットワークを欺く例の64%が、人間被験者によっても誤分類された。
• Random Maskモデルは優れた一般化性能を示す。異なるマスクを用いた5つのモデルのアンサンブル（0.9-Shallow-EN）では、自然精度89.45%、PGD-32攻撃下でのロバスト性85.46%を達成する。
• 敵対的攻撃の成功率はマスク比が上昇するにつれて増加し、0.95～0.99でピークに達する。これは、より高いフィルタのプルーニングがロバスト性を向上させるが、性能劣化を引き起こすまでの限界まで有効であることを示唆する。