[論文レビュー] Towards Evaluating the Robustness of Chinese BERT Classifiers

Boxin Wang, Boyuan Pan+2 more|arXiv (Cornell University)|Apr 7, 2020

Adversarial Robustness in Machine Learning参考文献 20被引用数 8

ひとこと要約

本稿では、埋め込み空間における最小限の摂動を生成して重要な漢字を置き換えることで、中国語 BERT 分類器を標的にする新しい文字単位の敵対的攻撃手法 AdvChar を提案する。攻撃により分類精度は 91.8% から 0% に低下し、平均で 2 文字未満の変更で達成可能であり、人間の性能にはほとんど影響を及ぼさない。これは中国語 BERT モデルに深刻なロバストネスの問題が存在することを示している。

ABSTRACT

Recent advances in large-scale language representation models such as BERT have improved the state-of-the-art performances in many NLP tasks. Meanwhile, character-level Chinese NLP models, including BERT for Chinese, have also demonstrated that they can outperform the existing models. In this paper, we show that, however, such BERT-based models are vulnerable under character-level adversarial attacks. We propose a novel Chinese char-level attack method against BERT-based classifiers. Essentially, we generate "small" perturbation on the character level in the embedding space and guide the character substitution procedure. Extensive experiments show that the classification accuracy on a Chinese news dataset drops from 91.8% to 0% by manipulating less than 2 characters on average based on the proposed attack. Human evaluations also confirm that our generated Chinese adversarial examples barely affect human performance on these NLP tasks.

研究の動機と目的

• 既存の研究が主に英語を対象としているのに対し、中国語 BERT ベースの分類器が敵対的攻撃に対してどれほどロバストであるかを調査すること。
• 離散的で高語彙的な中国語テキスト領域における、効率的かつスケーラブルな敵対的例の生成という課題に対処すること。
• ホワイトボックス設定で生成された敵対的例がブラックボックスモデルに転送可能かどうかを評価し、実世界の攻撃シナリオを模擬すること。
• 人間による評価を通じて、生成された敵対的例の自然さと人間による検出の難しさを検証すること。

提案手法

• AdvChar は、摂動の大きさを最小限に抑えつつ攻撃成功率を最大化するように、埋め込み空間における勾配誘導型の文字置換を実行する。
• 離散的でない文字置換プロセスの微分可能リラクゼーションを用いることで、埋め込み層を介してバックプロパゲーションが可能になる。
• 攻撃成功率と摂動の大きさのトレードオフを制御するためのハイパーパrameter c と κ を用いた制約付き最適化フレームワークを採用する。
• 攻撃は標的ありおよび標的なしの両設定で実行され、BERT のアテンションメカニズムに内在する統計的ヒントを悪用する敵対的例が生成される。
• 白箱設定で生成された敵対的例を用いて、パラメータにアクセスできないブラックボックス BERT モデルを攻撃することで、転送性を評価する。
• 人間評価では、母語話者がクリーンデータセットおよび敵対的データセットからの文をラベル付けすることで、知覚的類似度を評価する。

実験結果

リサーチクエスチョン

• RQ1 文字単位の敵対的攻撃は、最小限の摂動で中国語 BERT 分類器の性能を著しく低下させることができるか？
• RQ2 提案手法 AdvChar は、中国語の文脈において、高い攻撃成功率を達成しつつ、低い摂動レベルを維持できるか？
• RQ3 ホワイトボックス設定で生成された敵対的例は、ブラックボックス BERT モデルにどの程度転送可能か？
• RQ4 人間のアノテーターは、生成された敵対的例とクリーン入力との間に、意味的・構文的整合性の面でどの程度の差を感じるか？

主な発見

• 標的なし攻撃では、THUCTC および WeChat データセットの両方で 100% の成功確率を達成し、BERT の精度を 91.8% から 0% に低下させたが、平均で 2 文字未満の変更で実現した。
• 標的あり攻撃では、THUCTC データセットで 95%、WeChat データセットで 100% の成功確率を達成し、特定の誤分類ラベルに意図的に入力を誤分類させる高精度な性能を示した。
• 転送性実験の結果、ホワイトボックスで生成された敵対的例は、WeChat データセットにおいてブラックボックス BERT の精度を 88.2% から 14.3% に低下させた。
• 人間評価の結果、敵対的例でのパフォーマンスが 84% から 80% にわずか 4% 減少したにとどまり、攻撃が母語話者にとって検出困難であることを示した。
• 事例研究では、BERT モデルが特定の文字（例：「余」はエンタメ、「奇」は金融商品）を統計的ヒントとして利用しており、標的付き置換によって脆弱であることが明らかになった。
• ハイパーパrameter c と κ を増加させることで攻撃成功率が向上したが、それに伴いより多くの文字の摂動が必要になった。これは、有効性と不顕著性のトレードオフが確認されたことを示している。