[論文レビュー] Strong Black-box Adversarial Attacks on Unsupervised Machine Learning Models

Anshuman Chhabra, Abhishek Roy+1 more|arXiv (Cornell University)|Jan 28, 2019

Adversarial Robustness in Machine Learning参考文献 13被引用数 5

ひとこと要約

本稿では、教師なし機械学習モデル、特にクラスタリングアルゴリズムを標的とした強力な反復的ブラックボックス敵対的攻撃を提案する。この攻撃は、使用されるアルゴリズムにかかわらず、いかなるクラスタリング結果をも誤導する摂動を生成する。実世界のデータセット上で4つのクラスタリングアルゴリズムに対して高い転送性を示し、教師なしモデルが敵対的操作に対して重大な脆弱性を有することを明らかにする。

ABSTRACT

Machine Learning (ML) and Deep Learning (DL) models have achieved state-of-the-art performance on multiple learning tasks, from vision to natural language modelling. With the growing adoption of ML and DL to many areas of computer science, recent research has also started focusing on the security properties of these models. There has been a lot of work undertaken to understand if (deep) neural network architectures are resilient to black-box adversarial attacks which craft perturbed input samples that fool the classifier without knowing the architecture used. Recent work has also focused on the transferability of adversarial attacks and found that adversarial attacks are generally easily transferable between models, datasets, and techniques. However, such attacks and their analysis have not been covered from the perspective of unsupervised machine learning algorithms. In this paper, we seek to bridge this gap through multiple contributions. We first provide a strong (iterative) black-box adversarial attack that can craft adversarial samples which will be incorrectly clustered irrespective of the choice of clustering algorithm. We choose 4 prominent clustering algorithms, and a real-world dataset to show the working of the proposed adversarial algorithm. Using these clustering algorithms we also carry out a simple study of cross-technique adversarial attack transferability.

研究の動機と目的

• 教師なし機械学習モデル、特にクラスタリングアルゴリズムがブラックボックス敵対的攻撃に対してどれほど脆弱であるかを調査すること。
• 多様なクラスタリングアルゴリズムに効果を発揮する、堅牢な反復的ブラックボックス敵対的攻撃を開発すること。
• 異なるクラスタリング手法およびデータセット間での敵対的攻撃の転送性を評価すること。
• 敵対的サンプルが使用される基盤となるアルゴリズムの選択にかかわらず、常にクラスタリングを誤導できることを示すこと。

提案手法

• 攻撃は、クラスタリング結果における誤分類を最大化するように摂動を生成する反復的最適化プロセスを用いる。
• モデルのアーキテクチャや学習データにアクセスしないブラックボックス設定で動作する。
• 入力特徴量を操作することで、サンプルを誤ったクラスタに配置するように、クラスタリング目的を標的にする。
• 攻撃の有効性を検証するために、K-Means、DBSCAN、階層的クラスタリング、スペクトルクラスタリングの4つの代表的なクラスタリングアルゴリズムが使用される。
• 実世界のデータセットを用いて攻撃の実用的妥当性と頑健性を示す。
• 転送性は、異なるクラスタリング手法間での敵対的サンプルの成功率を測定することで評価される。

実験結果

リサーチクエスチョン

• RQ1 モデルの内部構造にアクセスできない状況下でも、ブラックボックス敵対的攻撃が教師なしクラスタリングモデルを効果的に誤導できるか？
• RQ2 提案された反復的攻撃は、複数のクラスタリングアルゴリズムにわたってどの程度効果的か？
• RQ3 敵対的サンプルは、異なるクラスタリング手法間でどの程度転送可能か？
• RQ4 クラスタリングアルゴリズムが変更されても、攻撃は依然として有効であるか。これは、アルゴリズム固有の特性にかかわらず成立するか？

主な発見

• 提案されたブラックボックス敵対的攻撃は、実世界のデータセット上でテストされた4つのクラスタリングアルゴリズムすべてに対して効果的に誤分類を引き起こし、高い有効性を示した。
• 攻撃は異なるクラスタリング手法間で強く性能を維持しており、アルゴリズム間での高い転送性を示している。
• 本手法で生成された敵対的サンプルは、使用されるクラスタリングアルゴリズムにかかわらず、一貫して誤分類を引き起こした。
• 攻撃の反復的性質により、入力特徴量の精密な操作が可能となり、目的のクラスタリング誤差を達成できた。