[論文レビュー] Task-generalizable Adversarial Attack based on Perceptual Metric

Muzammal Naseer, Salman Khan+2 more|arXiv (Cornell University)|Nov 22, 2018

Adversarial Robustness in Machine Learning参考文献 28被引用数 30

ひとこと要約

本稿では、VGG-16の内部表現を用いて深層特徴空間における知覚的歪みを最大化することで、高い転送性を持つ敵対的摂動を生成する、タスクに依存しない敵対的攻撃を提案する。タスク固有の損失関数やラベルに依存せず、分類、物体検出、セグメンテーションの各タスクにわたり強力な転送性を達成する。

ABSTRACT

Deep neural networks (DNNs) can be easily fooled by adding human imperceptible perturbations to the images. These perturbed images are known as `adversarial examples' and pose a serious threat to security and safety critical systems. A litmus test for the strength of adversarial examples is their transferability across different DNN models in a black box setting (i.e. when the target model's architecture and parameters are not known to attacker). Current attack algorithms that seek to enhance adversarial transferability work on the decision level i.e. generate perturbations that alter the network decisions. This leads to two key limitations: (a) An attack is dependent on the task-specific loss function (e.g. softmax cross-entropy for object recognition) and therefore does not generalize beyond its original task. (b) The adversarial examples are specific to the network architecture and demonstrate poor transferability to other network architectures. We propose a novel approach to create adversarial examples that can broadly fool different networks on multiple tasks. Our approach is based on the following intuition: "Perpetual metrics based on neural network features are highly generalizable and show excellent performance in measuring and stabilizing input distortions. Therefore an ideal attack that creates maximum distortions in the network feature space should realize highly transferable examples". We report extensive experiments to show how adversarial examples generalize across multiple networks for classification, object detection and segmentation tasks.

研究の動機と目的

• 既存の敵対的攻撃が異なるディープラーニングアーキテクチャや視覚タスクにわたって転送性が限られている問題に対処すること。
• 分類タスクを超えて一般化が制限される現在の攻撃がタスク固有の損失関数（例：交差エントロピー）に依存している問題を克服すること。
• 特徴空間の歪みのみに依存する、教師なしの敵対的攻撃を構築し、広範な適用可能性を実現すること。
• 事前学習済みネットワークの特徴における知覚的歪みが、高次のタスク間およびアーキテクチャ間の転送性を持つ敵対的例を生成できることを示すこと。

提案手法

• 攻撃は、VGG-16の特定の層（conv3.3）における元の特徴マップと敵対的特徴マップ間のニューラル表現歪み（NRD）を最大化する。
• NRDは、元の特徴と摂動を加えた特徴の平均二乗差として計算され、微分可能かつ安定性を確保する。
• 人間が認識できないように維持するため、摂動は$l_∞$ノルム制約（$\leq \epsilon$）の下で最適化される。
• 攻撃は白ボックス設定でソースモデル（VGG-16）に適用され、再訓練なしにターゲットモデルに転送される。
• 攻撃はタスク固有の損失やラベルを一切使用しないため、教師なしでアーキテクチャに依存しない目的を達成する。
• VGGベースの知覚的メトリクスが人間の知覚とよく一致し、タスクにわたって一般化されることを活用する。

実験結果

リサーチクエスチョン

• RQ1 深層特徴空間における知覚的歪みを最大化することで生成された敵対的例は、異なる視覚タスクにわたって高い転送性を示すか？
• RQ2 FGSM、MI-FGSM、DIMなどの最先端手法と比較して、本攻撃は未学習のモデルやタスクへの転送性でどのように優れているか？
• RQ3 分類タスクにとどまらず、物体検出やセマンティックセグメンテーションのためのモデルに対しても、本攻撃は有効に機能するか？
• RQ4 テレビジョン・モード（TVM）やJPEG変換などの入力変換は、ブラックボックス設定での本攻撃に対してどの程度緩和効果を示すか？
• RQ5 VGG-16の特徴に基づく攻撃が、ImageNetにおける相対的に低い精度にもかかわらず、なぜ優れた性能を発揮するのか？

主な発見

• NRDM攻撃は、IncRes-v2のトップ-1精度をImageNet上で100.0%から12.7%まで低下させ、他の攻撃と比較して優れた転送性を示した。
• MS-COCOデータセットでは、$l_∞ \leq 16$の条件下で、RetinaNetのmAPを53.78%から5.16%まで低下させ、物体検出タスクへの強い転送性を示した。
• CAMVIDにおけるセマンティックセグメンテーションでは、同じ摂動予算内において、Segnet-Basicのピクセル単位の正解率を47.11%低下させた。
• 攻撃は、ターゲットモデルが同じアーキテクチャファミリーに属さない場合（例：VGG-16からInception-ResNet-v2に）でも、高い転送性を維持した。
• TVM やメディアンフィルタリングなどの入力変換は部分的な緩和効果を示したが、元の入力での精度が低下する代償を伴った。
• 攻撃は自然に学習されたモデルに対しては有効であったが、MNISTおよびCIFAR-10の敵対的訓練済みMadryモデルに対しては失敗した。これは、防御戦略の向上が今後の課題であることを示唆している。