[論文レビュー] Robust Attacks against Multiple Classifiers

Juan C. Perdomo, Yaron Singer|arXiv (Cornell University)|Jun 6, 2019

Adversarial Robustness in Machine Learning参考文献 32被引用数 6

ひとこと要約

本稿では、2人零和ゲームとして定式化されたゲーム理論的フレームワークを提案し、複数の分類器に対する耐性のある adversarial 攻撃を生成する。最適な攻撃は、乗法的重み更新（MWU）と最良応答オラクルを用いてナッシュ均衡から得られる。この手法は既存のベースラインを著しく上回り、ImageNetでは最大で16.8%、MNISTでは30%まで複数の分類器の最大精度を低下させ、攻撃戦略におけるランダム化の重要性を示している。

ABSTRACT

We address the challenge of designing optimal adversarial noise algorithms for settings where a learner has access to multiple classifiers. We demonstrate how this problem can be framed as finding strategies at equilibrium in a two-player, zero-sum game between a learner and an adversary. In doing so, we illustrate the need for randomization in adversarial attacks. In order to compute Nash equilibrium, our main technical focus is on the design of best response oracles that can then be implemented within a Multiplicative Weights Update framework to boost deterministic perturbations against a set of models into optimal mixed strategies. We demonstrate the practical effectiveness of our approach on a series of image classification tasks using both linear classifiers and deep neural networks.

研究の動機と目的

• 学習者が複数の分類器を用いる場合に、単一モデルに対する攻撃に強い攻撃を設計する課題に対処すること。
• 学習者（複数の分類器から選択）と攻撃者（有界なノイズを追加）の間で、2人零和ゲームとして問題を形式化すること。
• 多様な意思決定境界を持つ分類器に対して、ランダム化された adversarial ノイズが攻撃の耐性を高めるために不可欠であることを示すこと。決定的攻撃では、多様な意思決定境界に対して失敗することを確認すること。
• MWUフレームワーク内での線形分類器および深層ニューラルネットワーク分類器の両方に対して、効率的な最良応答オラクルを設計すること。
• 本手法が複数の分類器を同時に欺く能力において、既存のアプローチを実証的に上回ることを検証すること。

提案手法

• 問題は、攻撃者が最大の分類器精度を最小化することを目的とし、学習者（複数の分類器から選択）と攻撃者（ノイズを追加）の間のゼロサムゲームとして定式化される。最適な混合戦略（ランダム化されたノイズ）は、乗法的重み更新（MWU）アルゴリズムにより、最良応答オラクルに基づいて反復的に更新される。
• 線形分類器に対しては、凸最適化を用いて正確な最良応答オラクルを構築し、与えられた分類器混合に最も効果的に欺くノイズを正確に計算可能にする。
• 深層ニューラルネットワークに対しては、未ターゲット逆ハッチ損失の重み付き和に対するPGDを用いて最良応答を近似し、耐性と視覚的不可検知性を両立させる。
• データ次元数が定数を超える場合にNP困難となるケースに対処するため、凸緩和を導入し、多項式時間内で近似的最適解を保証する。
• 損失関数を変更することで、勾配ベース最適化を可能にしつつ、有界な摂動を維持するという点で、ニューラルネットワークへの一般化を図る。

実験結果

リサーチクエスチョン

• RQ1 多様な意思決定境界を持つ複数の分類器に対して、単一モデルではなく、耐性のある adversarial 攻撃を実現できるか？
• RQ2 複数の分類器にわたる最適な攻撃性能を達成するには、adversarial ノイズにおけるランダム化が不可欠であるか？
• RQ3 ゲーム理論的均衡概念を用いて、複数の分類器に対する最適攻撃を効率的に計算できるか？
• RQ4 本フレームワーク内での線形分類器および深層ニューラルネットワーク分類器の両方に対して、最良応答オラクルをどのように構築できるか？
• RQ5 MWUベースの決定的攻撃のブースティングは、既存のアンサンブルまたは個別攻撃ベースラインと比較して、どの程度耐性が向上するか？

主な発見

• 線形多クラスモデルを用いたMNISTでは、MWU-Oracle手法により分類器の最大精度が16.8%まで低下し、次に優れた手法（Ensemble）の55%を著しく上回った。
• 深層ニューラルネットワークを用いたImageNetでは、MWU-Oracle手法により最大精度が36%まで低下したのに対し、最良個別モデル攻撃では99%、アンサンブルベースラインでは55%であった。
• MWUブースティングを用いないオラクルベースライン単体でも、MNISTでは30%、ImageNetでは36%まで最大精度を低下させ、反復的改善なしでも強力な性能を示した。
• MWUを複数反復することで攻撃品質が向上し、ImageNetではさらに12%の精度低下が達成された。これにより、ブースティングの有効性が裏付けられた。
• 分類器間での平均精度と最大精度の差が顕著に現れ、平均精度ではなく最悪ケース性能の最小化が重要であることが示された。
• 本手法は、アンサンブルベースラインが60%のノイズ予算増加を要するのに対し、20%の増加で同等の性能を達成した。これにより、優れたサンプル効率性が示された。