[論文レビュー] Sardino: Ultra-Fast Dynamic Ensemble for Secure Visual Sensing at Mobile Edge

Qunliang Song, Zhenyu Yan+2 more|arXiv (Cornell University)|Apr 18, 2022

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

Sardinoは、再訓練と比較して100万倍の高速化を達成する、モバイルエッジデバイスにおけるリアルタイム可視センシングのための、HyperNetに基づく超高速な動的アンサンブルシステムを提案する。1フレームごとのアンサンブル更新により、適応的攻撃に対抗する移動標的防御を実現する。1フレームあたり33msの処理時間を維持し、分布外入力をリアルタイムの交通標識認識システムで検出可能である。

ABSTRACT

Adversarial example attack endangers the mobile edge systems such as vehicles and drones that adopt deep neural networks for visual sensing. This paper presents {\em Sardino}, an active and dynamic defense approach that renews the inference ensemble at run time to develop security against the adaptive adversary who tries to exfiltrate the ensemble and construct the corresponding effective adversarial examples. By applying consistency check and data fusion on the ensemble's predictions, Sardino can detect and thwart adversarial inputs. Compared with the training-based ensemble renewal, we use HyperNet to achieve {\em one million times} acceleration and per-frame ensemble renewal that presents the highest level of difficulty to the prerequisite exfiltration attacks. We design a run-time planner that maximizes the ensemble size in favor of security while maintaining the processing frame rate. Beyond adversarial examples, Sardino can also address the issue of out-of-distribution inputs effectively. This paper presents extensive evaluation of Sardino's performance in counteracting adversarial examples and applies it to build a real-time car-borne traffic sign recognition system. Live on-road tests show the built system's effectiveness in maintaining frame rate and detecting out-of-distribution inputs due to the false positives of a preceding YOLO-based traffic sign detector.

研究の動機と目的

• ドローンや自動運転車両のようなモバイルエッジシステムにおけるDNNベースの可視センシングが、適応的敵対的例攻撃に対して脆弱であるという問題に対処すること。
• 静的アンサンブルや再訓練に基づく更新に起因する遅延や実用性の欠如といった制限を克服すること。
• 敵対的攻撃の効果的な抽出や作成を困難にするために、実行時における高頻度のアンサンブル更新を可能にすること。
• セキュリティと耐障害性を向上させるために、最大限のアンサンブルサイズを維持しつつ、リアルタイム性能（例：1フレームあたり33ms）を確保すること。

提案手法

• ランダムシードからDNN重みを生成する学習可能なMLPであるHyperNetを用い、再訓練を伴わずにほぼ即時のアンサンブル生成を可能にする。
• 各フレームごとに予測処理時間と利用可能な予算に基づき、動的アンサンブルサイズ（N）を調整する実行時プランナを採用する。
• 一貫性チェックとアンサンブル予測のデータ統合を適用し、敵対的および分布外入力を検出する。
• 完全なモデルを保存せずに、ランダムシードを用いた軽量な検証メカニズムを統合してアンサンブルの正確性を検証する。
• 各フレームが目標遅延（例：33ms）以内に処理されるように、ソフトデッドラインメカニズムを適用する。
• YOLO検出結果のオブジェクトを処理するリアルタイムの車載交通標識認識パイプラインに、適応的アンサンブル更新を統合して実装する。

実験結果

リサーチクエスチョン

• RQ1 モバイルエッジデバイス上で、再訓練を伴わず、実行時における超高速なアンサンブル更新が可能かどうか。
• RQ2 再訓練なしに、1フレームごとの更新を実現するためのアンサンブル更新の高速化はどのように達成できるか。
• RQ3 動的アンサンブルにおけるアンサンブルサイズ、処理遅延、セキュリティ強度のトレードオフは何か。
• RQ4 実世界の展開において、動的アンサンブルは敵対的例と分布外入力を効果的に検出できるか。
• RQ5 アンサンブルの多様性と更新頻度を最大化しつつ、リアルタイム性能をどのように維持できるか。

主な発見

• Sardinoは、従来の再訓練と比較して、アンサンブル更新において100万倍の高速化を達成し、モバイルエッジデバイス上で1フレームごとの更新を実現した。
• 320x320@30fpsの条件下で、平均して1フレームあたり33.0msの処理時間を維持し、ジタータイムも許容範囲内に抑えられた。
• 実走行テストでは、YOLOベースの交通標識検出器による誤検出によって生じた分布外入力を、Sardinoが正常に検出できた。
• 実行時プランナは、高負荷（1フレームあたり最大9オブジェクト）の状況下でも、33msのソフトデッドライン内に処理を保つために、アンサンブルサイズ（N）を動的に調整した。
• 完全なモデル重みではなくランダムシードを保存するため、1時間あたり5.5MBのストレージオーバーヘッドに留まり、事後分析が可能となった。
• オフタイム再訓練手法と比較して、Sardinoの1フレームごとの更新ははるかに強力な移動標的防御セキュリティを提供し、バッテリーの過剰放電リスクを回避した。