[論文レビュー] Towards Defending against Adversarial Examples via Attack-Invariant Features

Dawei Zhou, Tongliang Liu+4 more|arXiv (Cornell University)|Jun 9, 2021

Adversarial Robustness in Machine Learning被引用数 15

ひとこと要約

本稿では、多様な adversarial 攻撃にわたる攻撃不変特徴（AIFs）を学習することで、自然な入力を回復する adversarial ノイズ除去ネットワーク（ARN）を提案する。攻撃不変特徴（AIFs）を adversarial 特徴学習を用いて分離し、潜在空間を正規化してバイアスを低減することで、ARN は特に未観測および適応的攻撃に対して優れた耐性を示し、ピクセル制約および空間制約付き攻撃において、CIFAR-10 および MNIST で最先端の防御手法を上回る性能を発揮する。

ABSTRACT

Deep neural networks (DNNs) are vulnerable to adversarial noise. Their adversarial robustness can be improved by exploiting adversarial examples. However, given the continuously evolving attacks, models trained on seen types of adversarial examples generally cannot generalize well to unseen types of adversarial examples. To solve this problem, in this paper, we propose to remove adversarial noise by learning generalizable invariant features across attacks which maintain semantic classification information. Specifically, we introduce an adversarial feature learning mechanism to disentangle invariant features from adversarial noise. A normalization term has been proposed in the encoded space of the attack-invariant features to address the bias issue between the seen and unseen types of attacks. Empirical evaluations demonstrate that our method could provide better protection in comparison to previous state-of-the-art approaches, especially against unseen types of attacks and adaptive attacks.

研究の動機と目的

• 訓練時に観測した攻撃に対しては有効だが、未観測または適応的攻撃に対しては失敗する、adversarial 防御における一般化ギャップを解消すること。
• 訓練中に攻撃タイプの分布が不均一であることが原因で生じる、学習済み特徴のバイアスを克服すること。
• 攻撃間で不変な意味的特徴を抽出することで、自然な例を回復する前処理防御機構を開発すること。
• ピクセル制約および空間的制約付き攻撃の両方に対して耐性を高め、とくに訓練時に未観測の攻撃タイプに対しても有効であること。
• 推論時にターゲットモデルのアーキテクチャや勾配にアクセスせずに、効果的な防御を可能にすること。

提案手法

• ペアドエンコーダーとディスクラミネーターを用いて、adversarial ノイズから攻撃不変特徴（AIFs）を分離する自動符号化器ベースの ARN フレームワークを提案する。
• adversarial 特徴学習を用いる：ディスクラミネーターは、符号化された AIF 空間から攻撃固有の情報（例：攻撃タイプ）を識別するが、エンコーダーはディスクラミネーターの視点から見ても区別がつかないような特徴を学習する。
• AIF 潜在空間に正規化項を導入し、特徴分布を多変量ガウス事前分布に一致させることで、観測済み攻撃と未観測攻撃の間のバイアスを低減する。
• 合成例と元の自然入力との間のピクセル単位の再構成損失を最小化するようにデコーダーを訓練することで、クリーンデータの正確な回復を可能にする。
• エンコーダーとデコーダーを同時に最適化し、意味的コンテンツを保持しながら adversarial パerturbation を除去する、頑健で一般化可能な AIFs を学習する。
• 一般化を高めるために、訓練時に複数の攻撃タイプ（例：PGD、AA、STA）を用いることで、未観測攻撃のカバレッジを向上させる。

実験結果

リサーチクエスチョン

• RQ1 多様な adversarial 攻撃にわたる攻撃不変特徴（AIFs）を効果的に学習できるか、これにより頑健な防御が可能になるか？
• RQ2 AIF 潜在空間の正規化が、観測済み攻撃と未観測攻撃タイプの間のバイアスをどのように軽減するか？
• RQ3 ARN は、訓練時に観測されなかった攻撃および適応的攻撃にどの程度一般化できるか？
• RQ4 AIFs を用いた adversarial ノイズの除去により、回復された例が検出モデルから自然な例と区別がつかなくなるか？
• RQ5 さまざまな攻撃タイプおよび制約条件下で、ARN は最先端の防御手法と比較してどの程度の頑健な正確度を示すか？

主な発見

• ARN は CIFAR-10 で最先端の頑健な正確度を達成し、未観測の AutoAttack (AA N) に対して 88.7%、PGD N に対して 86.9%、空間変換攻撃 (STA N) に対して 85.1% を記録し、先行手法を顕著に上回る。
• アブレーションスタディにより、正規化損失 ($\mathcal{L}_{nor}$) を除去すると、頑健性が急激に低下することが確認された — 例として、未観測の STA N に対する正確度は 85.1% から 64.3% に低下した — これにより、一般化に果たす正規化項の重要性が示された。
• 攻撃不変特徴学習損失 ($\mathcal{L}_{att}$) を除去すると、ARN の頑健性は崩壊し、未観測攻撃で正確度が 50% 未満に低下した — これにより、AIFs の分離に不可欠であることが証明された。
• 局所的内挿次元性（LID）を用いた adversarial 例検出では、回復例の再現率は MNIST で 1.26%、CIFAR-10 で 8.48% にとどまり、自然データとほぼ区別がつかないことが示された。
• クロスモデル防御においても一般化が良好であることが確認された：ARN で前処理された例は、異なるターゲットモデルでも高い頑健性を維持しており、前処理の有効性が裏付けられた。
• 適応的攻撃に対してもモデルの耐性が保たれていることから、AIFs が進化する攻撃戦略の摂動パターンに耐える意味的不変性を捉えていることが示された。