[論文レビュー] Rearchitecting Classification Frameworks For Increased Robustness

Varun Chandrasekaran, Brian Tang+4 more|arXiv (Cornell University)|May 26, 2019

Adversarial Robustness in Machine Learning参考文献 79被引用数 5

ひとこと要約

本稿では、ドメイン知識やデータ駆動型クラスタリングから導出される物理的不変性（形状や位置など）を強制することで、精度を損なわずに敵対的ロバストネスを向上させる階層的分類フレームワークを提案する。これらの不変性を分類器の構造に組み込むことで、敵対的攻撃の有効な攻撃空間が制限され、計算コストの増加が最小限に抑えられながら、道路標識分類および発話者識別において顕著なロバストネスの向上が達成された。

ABSTRACT

While generalizing well over natural inputs, neural networks are vulnerable to adversarial inputs. Existing defenses against adversarial inputs have largely been detached from the real world. These defenses also come at a cost to accuracy. Fortunately, there are invariances of an object that are its salient features; when we break them it will necessarily change the perception of the object. We find that applying invariants to the classification task makes robustness and accuracy feasible together. Two questions follow: how to extract and model these invariances? and how to design a classification paradigm that leverages these invariances to improve the robustness accuracy trade-off? The remainder of the paper discusses solutions to the aformenetioned questions.

研究の動機と目的

• 深層ニューラルネットワークにおける自然な精度と敵対的ロバストネスの間の持続的でないトレードオフを解消すること。
• 形状や空間的配置といったドメイン固有の不変性を分類パイプラインに統合し、敵対的摂動を制約すること。
• 中間層で不変性を強制する階層的分類フレームワークを構築し、構造的なラベル分割によってロバストネスを向上させること。
• ドメイン知識が限られる状況において、データ埋め込みから抽出した不変性が、ロバストなモデル設計を効果的に導くことができるかを示すこと。
• 現実世界のタスク、特に道路標識や発話者識別の物理的実現可能な敵対的例に対して、そのアプローチを検証すること。

提案手法

• 摂動下でも意味を保つ関係 𝒫 ⊆ 𝒳 × 𝒳 を数学的に不変性として定式化し、例えばストップ・サインの八角形の形状を維持する例を含む。
• 中間層および最終層の特徴量埋め込みに対してクラスタリングを適用し、ラベルに等価なクラスタを同定することで、不変性構造を発見する。
• 上位分類器が不変性に基づく同値類を強制し、葉ノード分類器が各クラス内で詳細な予測を実行する階層的分類器を設計する。
• 各コンponent（不変性強制分類器および葉分類器）をロバストに訓練することで、合成的設計により全体のシステムがロバスト性を継承することを保証する。
• 特にLiDARベースの攻撃に対して、2次元画像と3次元ポイントクラウドといったマルチモーダル入力を活用して、物理的状況下でのロバストネスを向上させる。
• 道路標識認識や発話者識別といった現実世界のタスクにこのフレームワークを適用し、物理的に実現可能な敵対的例に対するロバストネスを評価する。

実験結果

リサーチクエスチョン

• RQ1 形状や位置といった物理的不変性を強制することで、深層学習モデルにおけるロバストネスと精度のトレードオフを改善できるか？
• RQ2 ドメインエキスパートの知識が得られない状況で、データから不変性を自動的に発見する方法は何か？
• RQ3 不変性を強制する階層的分類アーキテクチャは、標準的なモデルに比べて敵対的ロバストネスで優れているか？
• RQ4 ニューラルネットワークの埋め込みのクラスタリングから得られる不変性は、どれほど実用的なロバストネス向上に寄与するか？
• RQ5 印刷された形状の変更や3次元ポイントクラウドの操作といった物理的に実現可能な敵対的攻撃に対して、このようなフレームワークは防御可能か？

主な発見

• 不変性を強制する階層的分類フレームワークは、自然な精度を損なわせることなくロバストネスを向上させ、標準的なロバストネスと精度のトレードオフを効果的に是正した。
• 形状や空間的配置といった不変性は、敵対的攻撃者の有効な攻撃空間を顕著に縮小し、標的攻撃の実現可能性を制限した。
• 深層ネットワークからの特徴量埋め込みのクラスタリングにより、意味のあるラベル同等性が明らかになり、それらを用いてロバストな不変クラスを定義できることが示された。
• 本手法は道路標識分類において顕著なロバストネス向上を示し、形状を変更した印刷済み標識のような物理的に実現可能な敵対的摂動に対しても効果的に防御できた。
• 2次元画像と3次元ポイントクラウドを組み合わせるマルチモーダル設定においても、本フレームワークは効果的であり、LiDARベースの敵対的攻撃に対して防御可能であった。
• 計算コストの増加が最小限に抑えられ、高価な敵対的訓練や証明手続きを回避しつつ、ロバストネスの向上が達成された。