[論文レビュー] RetrievalGuard: Provably Robust 1-Nearest Neighbor Image Retrieval

Yihan Wu, Hongyang Zhang+1 more|arXiv (Cornell University)|Jun 17, 2022

Advanced Image and Video Retrieval Techniques被引用数 4

ひとこと要約

RetrievalGuard は、$\varepsilon$-有界 $\sigma$-ノルムの adversarial パーティクルに対して Recall@1 が不変であることを保証する、最初の証明可能に頑健な 1-NN 画像検索フレームワークである。これは、ベースモデルの埋め込み空間にガウススムージングを適用することで達成され、計算可能な証明可能半径を持つリプシッツ有界スムージング埋め込みにより、証明可能な頑健性を実現する。

ABSTRACT

Recent research works have shown that image retrieval models are vulnerable to adversarial attacks, where slightly modified test inputs could lead to problematic retrieval results. In this paper, we aim to design a provably robust image retrieval model which keeps the most important evaluation metric Recall@1 invariant to adversarial perturbation. We propose the first 1-nearest neighbor (NN) image retrieval algorithm, RetrievalGuard, which is provably robust against adversarial perturbations within an $\ell_2$ ball of calculable radius. The challenge is to design a provably robust algorithm that takes into consideration the 1-NN search and the high-dimensional nature of the embedding space. Algorithmically, given a base retrieval model and a query sample, we build a smoothed retrieval model by carefully analyzing the 1-NN search procedure in the high-dimensional embedding space. We show that the smoothed retrieval model has bounded Lipschitz constant and thus the retrieval score is invariant to $\ell_2$ adversarial perturbations. Experiments on image retrieval tasks validate the robustness of our RetrievalGuard method.

研究の動機と目的

• 1-NN 画像検索モデルが Recall@1 の低下を引き起こす adversarial パーティクルに対して脆弱であるという問題に対処すること。
• 1-NN 検索の結果が $\sigma$-有界 $\sigma$-ノルムの adversarial 攻撃に対して不変であることを保証する、証明可能に頑健なフレームワークを開発すること。
• 分類タスクに特化して開発されたランダム化スムージングを、検索タスクで使用される高次元埋め込み空間へと拡張すること。
• モデルに依存しない、計算可能な頑健性半径を有する証明可能な防御を提供すること。
• 異なる埋め込み次元とノイズレベルにおける、本手法の頑健性と精度のトレードオフ、スケーラビリティを実証的に検証すること。

提案手法

• ベース画像検索モデルの埋め込み出力にガウススムージングを適用し、摂動を加えた入力のモンテカルロ平均を用いてスムージングモデル $g(x)$ を生成する。
• スムージング埋め込みを $g(x) = \mathbb{E}_{\xi \sim \mathcal{N}(0, \sigma^2 I)}[h(x + \xi)]$ と定義する。ここで $h(\cdot)$ はベースエンコーダーである。
• スムージングモデル $g$ が有界なリプシッツ定数を持つことを証明し、小さな $\sigma$-ノルムの摂動が 1-NN 結果を変えないことを保証する。
• 各入力について、$n = 100,000$ のモンテカルロサンプリングを用いてスムージング埋め込みを推定し、証明可能半径を計算する。
• 信頼度しきい値 $\alpha = 0.01$ を用いて、入力 $x$ についての証明可能半径 $r(x; g)$ を決定し、$\|\delta\|_2 \leq r(x; g)$ を満たすすべての $\delta$ に対して 1-NN 結果が保証されるとする。
• ベースのメトリクス学習モデル（DML/GDML）をスムージングの前段階で訓練するため、ハイパーパramータ $\beta = 1.2$、$\gamma = 0.2$、$\sigma = 1$ を用いたマージン損失を適用する。

実験結果

リサーチクエスチョン

• RQ1 ランダム化スムージングは、離散ラベルではなく高次元埋め込みを出力とする 1-NN 画像検索に適応可能か？
• RQ2 $\sigma$-ノルム摂動下での 1-NN 検索における証明可能頑健性半径の理論的上限は何か？
• RQ3 モンテカルロサンプル数と信頼度レベル $\alpha$ が、証明可能頑健性保証の精度と信頼性に与える影響は何か？
• RQ4 ガウスノイズ $\sigma$ の異なるレベルにおいて、頑健性（証明可能半径）と検索精度（Recall@1）のトレードオフはどのように変化するか？
• RQ5 埋め込み次元 $k$ は、証明可能頑健性と検索パフォーマンスにどのように影響を与えるか？

主な発見

• RetrievalGuard は証明可能な頑健性を達成している：任意の入力 $x$ に対して、$\|\delta\|_2 \leq r(x; g)$ を満たすすべての摂動 $\delta$ に対して 1-NN 結果が不変である。ここで $r(x; g)$ は計算可能な証明可能半径である。
• $\sigma = 1$ の場合、Online-Products データセットで最大 0.85 の証明可能半径を達成し、$r$ の増加に伴い Recall@1(r) はわずかに低下するにとどまる。
• 拒否率（証明可能予測における偽陰性）は、$n=10,000$ 時に 14% から $n=100,000$ 時に 4% に低下し、推定が安定的かつ信頼性があることを示している。
• モンテカルロサンプル数を 1,000 から 100,000 に増加させると Recall@1(r) が顕著に向上するが、1,000,000 にさらに増加させても利得は著しく減少する。
• 信頼度レベル $\alpha$ が $\{0.01, 0.05, 0.1\}$ の範囲で変化しても、Recall@1(r) は安定しており、$\alpha$ に対して低い感度であることが示された。
• より大きな埋め込み次元 $k$（例：$k=128$）は、頑健性を向上させる。高次元空間では、異なるサンプル間のマージン $\underline{d}(x; g)$ が大きくなり、結果としてより大きなマージンが得られるためである。