[論文レビュー] The Effects of JPEG and JPEG2000 Compression on Attacks using Adversarial Examples

Ayse Elvan Aydemir, Alptekin Temizel+1 more|arXiv (Cornell University)|Mar 28, 2018

Adversarial Robustness in Machine Learning参考文献 9被引用数 21

ひとこと要約

本稿では、深層学習分類器における adversarial examples に対する前処理防御としての JPEG および JPEG2000 圧縮を調査する。JPEG2000 は、より高い圧縮効率と低い歪みのおかげで、特にブロッキングアーティファクトのない高圧縮率の条件下でも、同等の PSNR 水準で分類精度をよりよく維持するため、JPEG よりも adversarial noise を効果的に低減することが示された。

ABSTRACT

Adversarial examples are known to have a negative effect on the performance of classifiers which have otherwise good performance on undisturbed images. These examples are generated by adding non-random noise to the testing samples in order to make classifier misclassify the given data. Adversarial attacks use these intentionally generated examples and they pose a security risk to the machine learning based systems. To be immune to such attacks, it is desirable to have a pre-processing mechanism which removes these effects causing misclassification while keeping the content of the image. JPEG and JPEG2000 are well-known image compression techniques which suppress the high-frequency content taking the human visual system into account. JPEG has been also shown to be an effective method for reducing adversarial noise. In this paper, we propose applying JPEG2000 compression as an alternative and systematically compare the classification performance of adversarial images compressed using JPEG and JPEG2000 at different target PSNR values and maximum compression levels. Our experiments show that JPEG2000 is more effective in reducing adversarial noise as it allows higher compression rates with less distortion and it does not introduce blocking artifacts.

研究の動機と目的

• JPEG および JPEG2000 圧縮が adversarial examples に対して前処理防御として有効であるかを評価すること。
• adversarial noise が加わった状態での分類精度の保持を前提に、JPEG と JPEG2000 の性能を比較すること。
• 異なる PSNR 水準および最大圧縮比が、adversarial 攻撃に対する分類器の耐性に与える影響を分析すること。
• JPEG2000 の優れた圧縮特性が、JPEG よりも効果的に adversarial noise を低減するかどうかを特定すること。

提案手法

• 著者らは、ImageNet で事前学習されたモデルを用いて生成された FGSM および PGD 攻撃による adversarial examples に対して、JPEG および JPEG2000 圧縮を適用した。
• 歪みの異なるさまざまな PSNR 値および最大圧縮レベルで圧縮を実施し、異なる歪みレベルにおける耐性を評価した。
• 圧縮後の分類精度を測定することで、ノイズ低減の有効性を評価した。
• 標準データセットを用いた実験では、事前学習済みモデルを用い、圧縮手法および PSNR 水準ごとに結果を比較した。
• JPEG で一般的に見られるブロッキングアーティファクトを最小限に抑える一方で、JPEG2000 が高周波数の adversarial noise を効果的に抑制できるかを評価した。
• 性能と耐性を比較するために、トップ-1 精度および PSNR といった定量的指標を用いた。

実験結果

リサーチクエスチョン

• RQ1 PSNR が同等の条件下で、JPEG2000 圧縮は JPEG よりも adversarial noise を効果的に低減し、分類精度をよりよく保持できるか？
• RQ2 PSNR 水準を変化させた場合、JPEG および JPEG2000 圧縮後の分類器の耐性にどのような影響が生じるか？
• RQ3 同じまたはより高い圧縮率の条件下で、JPEG2000 は JPEG よりも高い分類精度を維持できるか？
• RQ4 JPEG に見られるブロッキングアーティファクトは、圧縮が防御手法としての有効性をどれほど損なうか？
• RQ5 JPEG2000 の高い圧縮効率と低い歪みは、adversarial 攻撃に対するレジリエンスを向上させることができるか？

主な発見

• JPEG2000 は、特に高圧縮レベルにおいても、より高い圧縮率を達成しながら、低い歪みを維持する。
• 同等の PSNR 値の下で、JPEG2000 は JPEG よりも adversarial examples に対して高い分類精度を維持する。
• JPEG は高圧縮レベルで顕著なブロッキングアーティファクトを発生させ、分類器の耐性を低下させ、分類性能を低下させる。
• JPEG2000 は、優れたサブバンド符号化と滑らかな量子化のおかげで、高周波数の adversarial noise を効果的に抑制する。
• 高い圧縮効率と低い歪みの組み合わせにより、JPEG2000 は adversarial 攻撃に対する前処理防御として、JPEG よりもより効果的である。
• 結果から、特にノイズが多い状況下でも、同じ圧縮条件において JPEG2000 は JPEG よりも分類精度をよりよく維持することが示された。