[論文レビュー] Robust Adversarial Learning via Sparsifying Front Ends

Soorya Gopalakrishnan, Zhinus Marzi+3 more|arXiv (Cornell University)|Oct 24, 2018

Adversarial Robustness in Machine Learning参考文献 53被引用数 4

ひとこと要約

この論文は、正規直交基底におけるスパース表現を用いて入力を低次元部分空間に射影するスパース化フロントエンドを適用することにより、深層ニューラルネットワークのスパースティベースの防御を提案する。この手法は、ℓ_{\infty} 界限付き攻撃において、 adversarial perturbation の影響をおよそ $K/N$ 倍に低減する。実験では、スパース化フロントエンドを用いた場合、CIFAR-10 で 39.6% のロバスト精度を達成し、敵対的訓練を組み合わせた場合に 67.21% に上昇し、敵対的訓練単体よりも優れた性能を示した。

ABSTRACT

It is by now well-known that small adversarial perturbations can induce classification errors in deep neural networks. In this paper, we take a bottom-up signal processing perspective to this problem and show that a systematic exploitation of sparsity in natural data is a promising tool for defense. For linear classifiers, we show that a sparsifying front end is provably effective against $\ell_{\infty}$-bounded attacks, reducing output distortion due to the attack by a factor of roughly $K/N$ where $N$ is the data dimension and $K$ is the sparsity level. We then extend this concept to deep networks, showing that a "locally linear" model can be used to develop a theoretical foundation for crafting attacks and defenses. We also devise attacks based on the locally linear model that outperform the well-known FGSM attack. We supplement our theoretical results with experiments on the MNIST and CIFAR-10 datasets, showing the efficacy of the proposed sparsity-based defense schemes.

研究の動機と目的

• 信号処理の原則に基づいた理論的裏付けがあり、下位から上位への防御を構築すること。
• 高次元入力におけるデータのスパarsity を活用して、小さな $ℓ_{\infty}$-境界付き摂動に対する深層ネットワークの脆弱性を軽減すること。
• 敵対的訓練に依存しない、スパース化フロントエンドを通じた敵対的ロバストネスに関する明示的な理論的保証を提供すること。
• 局所線形近似が敵対的摂動下でのニューラルネットワークの挙動をどのようにモデル化できるかを調査すること。
• スパースティベースの前処理が、敵対的訓練に依存しないでロバストネスを向上させられることを示すこと。

提案手法

• スパース化フロントエンドは、既知の正規直交基底を用いて、入力を $K$ 次元部分空間に射影し、スパース表現における $K$ 個の最大係数のみを保持する。
• 線形分類器の場合、確率的重みモデルの下で、敵対的出力歪みが $K/N$ 倍に低減される。
• 局所線形モデルは、深層ネットワークを区分的線形関数として近似し、敵対的攻撃と防御の理論的分析を可能にする。
• 理論的分析により、スパースティが高次元入力における ℓ_{\infty}-境界付き摂動の増幅を制限することを示した。
• 実験では、画像データにウェーブレット基底を用い、分類の前処理としてスパース化を適用し、敵対的訓練に統合可能である。
• ハイブリッド防御は、スパース化フロントエンドと敵対的訓練を組み合わせ、自然な精度とロバスト精度の両方を向上させる。

実験結果

リサーチクエスチョン

• RQ1 高次元データにおけるスパースティを体系的に活用することで、ℓ_{\infty} 界限付き敵対的摂動の影響を低減できるか？
• RQ2 スパース化フロントエンドは、線形分類器においてどの程度明示的に敵対的攻撃を弱めるか？
• RQ3 局所線形モデルは、敵対的摂動下での深層ネットワークの挙動をどの程度正確に捉えられるか？
• RQ4 スパースティベースの前処理を敵対的訓練と組み合わせることで、ロバストネスが向上するか？
• RQ5 スパース化基底とスパースリティレベルの選択が、ロバストネスと自然精度に顕著な影響を与えるか？

主な発見

• 線形分類器において、スパースティベースの防御は、確率的重みモデルの下で、敵対的出力歪みを $K/N$ 倍に低減する。
• MNIST では、スパース化フロントエンド単体で $\epsilon = 0.3$ 時に 38.4% のロバスト精度を達成し、ベースラインを著しく上回った。
• CIFAR-10 では、スパース化フロントエンド単体で $\epsilon = 2/255$ 時に (3.5, 1, 1)% のスパースリティレベルで 39.60% のロバスト精度を達成した。
• CIFAR-10 でフロントエンドと敵対的訓練を組み合わせた場合、67.21% のロバスト精度と 88.02% の自然精度を達成し、敵対的訓練単体（66.82% のロバスト精度）をわずかに上回った。
• 訓練時 $\epsilon = 0.1$、テスト時 $\epsilon = 0.2$ でも防御が有効であり、攻撃の予算にわたる一般化能力を示した。
• 理論的分析により、特に高次元設定下でスパースティが小さな摂動の増幅を制限することが確認された。