[論文レビュー] Second-Order Adversarial Attack and Certifiable Robustness

Bai Li, Changyou Chen+2 more|arXiv (Cornell University)|Sep 10, 2018

Adversarial Robustness in Machine Learning被引用数 49

ひとこと要約

本論文は、最先端の adversarially trained モデルの精度を顕著に低下させる、新しい2次攻撃を導入し、証明可能ロバストネスのための新しいフレームワークの開発を促した。この手法により、敵対的例に対するモデル精度の証明可能な下限が導出可能となり、同じ攻撃条件下で先行研究の防御法と比較してより優れたロバストネスと高い精度を示した。

ABSTRACT

We propose a powerful second-order attack method that outperforms existing attack methods on reducing the accuracy of state-of-the-art defense models based on adversarial training. The effectiveness of our attack method motivates an investigation of provable robustness of a defense model. To this end, we introduce a framework that allows one to obtain a certifiable lower bound on the prediction accuracy against adversarial examples. We conduct experiments to show the effectiveness of our attack method. At the same time, our defense models obtain higher accuracies compared to previous works under our proposed attack.

研究の動機と目的

• より効果的な敵対的攻撃手法を開発し、堅牢に訓練されたモデルの精度を低下させる点で既存手法を上回ること。
• ますます強力な敵対的攻撃に対して、防御モデルの証明可能なロバストネスを調査すること。
• 敵対的摂動に対するモデル精度の証明可能な下限を提供するフレームワークを設計すること。
• 新しい攻撃下での防御モデルの評価を行い、先行研究と比較して性能が向上していることを示すこと。

提案手法

• 本論文は、モデルの損失関数の曲率情報を活用して、より効果的な敵対的例を生成する2次攻撃を提案する。
• 攻撃を二段階最適化問題として定式化し、摂動制約を満たしつつモデルの損失を最大化する摂動を最適化する。
• 摂動探索の方向を改善するために、ヘッセ・ベクトル積を用いて2次勾配を計算する。
• 数学的に証明可能な下限を提供する、新たなロバストネス認証フレームワークを導入する。
• 敵対的訓練で訓練されたモデルに適用可能で、スケーラブルな設計である。

実験結果

リサーチクエスチョン

• RQ1 提案された2次攻撃は、最先端の adversarially trained モデルの精度をどれほど効果的に低下させるか？
• RQ2 提案されたフレームワークを用いて、敵対的摂動下でのモデル精度の証明可能な下限を導出できるか？
• RQ3 新しい攻撃下で訓練された防御モデルの性能は、従来の防御法と比較して、精度とロバストネスの観点でどのように向上しているか？
• RQ4 2次攻撃は、現在の敵対的訓練防御法における脆弱性をどの程度露呈するか？

主な発見

• 提案された2次攻撃は、既存の1次および2次攻撃手法と比較して、堅牢に訓練されたモデルの精度をより高い成功率で低下させた。
• 新しい攻撃下で訓練された防御モデルは、従来の防御法と比較して、高いクリーン精度を達成しながらも、強いロバストネスを維持した。
• 提案された認証フレームワークは、敵対的例に対するモデル精度の証明可能な下限を効果的に提供し、数学的保証を提供した。
• 実験結果から、新しい攻撃が従来の手法よりも優れていることが確認され、とくに強力な防御を持つモデルに対して顕著であった。