[論文レビュー] Towards Imperceptible and Robust Adversarial Example Attacks against Neural Networks

Bo Luo, Yannan Liu+2 more|arXiv (Cornell University)|Jan 15, 2018

Adversarial Robustness in Machine Learning参考文献 18被引用数 21

ひとこと要約

本論文は、人間の視覚感受性をモデル化し、ノイズ耐性を最大化することで、見えにくさと耐性の両方を向上させる、新しい敵対的攻撃手法を提案する。知覚に配慮した距離尺度と貪欲な最適化戦略を導入することで、物理的歪みに対して優れた耐性を示し、強いガウスノイズ（標準偏差=0.25）下でFGSM、JSMA、L-BFGSを最大36%上回る成功率を達成した（62% 対 21.5%）。

ABSTRACT

Machine learning systems based on deep neural networks, being able to produce state-of-the-art results on various perception tasks, have gained mainstream adoption in many applications. However, they are shown to be vulnerable to adversarial example attack, which generates malicious output by adding slight perturbations to the input. Previous adversarial example crafting methods, however, use simple metrics to evaluate the distances between the original examples and the adversarial ones, which could be easily detected by human eyes. In addition, these attacks are often not robust due to the inevitable noises and deviation in the physical world. In this work, we present a new adversarial example attack crafting method, which takes the human perceptual system into consideration and maximizes the noise tolerance of the crafted adversarial example. Experimental results demonstrate the efficacy of the proposed technique.

研究の動機と目的

• 従来の敵対的攻撃手法が単純なLpノルム距離尺度に依存しており、人間の視覚感受性を考慮せず、容易に検出可能な摂動を生じることの限界を是正する。
• 物理世界におけるノイズ、圧縮、変換によって攻撃成功率が低下する状況において、敵対的例の耐性を向上させる。
• 特定のアプリケーションに特化した従来の手法の制限を克服し、多様なニューラルネットワーク応用に適用可能な汎用的攻撃フレームワークを開発する。
• 摂動の配置において知覚感受性とノイズ耐性のバランスを最適化することで、見えにくさと耐性を同時に最適化する。

提案手法

• 人間が画素摂動に対して感受性が低い領域（高分散領域）に高い耐性を割り当て、均一な領域では感受性が低いことをモデル化する、新しい知覚的距離尺度を導入する。
• ターゲットクラスの確信度と次に高いクラスの確信度の差を最大化する最適化目的関数を定式化し、攻撃成功率と耐性を向上させる。
• 知覚的耐性が高く、最適な大きさの摂動を適用できる画素を選択する貪欲なアルゴリズムを提案し、ノイズ耐性を最大化しながら見えにくさを維持する。
• 物理的変換（例：JPEG圧縮、ガウスノイズ、ぼかし、明るさ/コントラスト変更）の後に依然として誤分類のままとなる敵対的例の割合を、耐性指標として定義する。
• 実世界の歪みをシミュレートするための合成変換関数 $Tran(*)$ を用い、さまざまな物理的条件下での成功率を評価する。
• CIFAR-10およびMNISTデータセットに本手法を適用し、同じ評価プロトコル下でFGSM、JSMA、L-BFGSと性能を比較する。

実験結果

リサーチクエスチョン

• RQ1 知覚に配慮した距離尺度は、標準的なLpノルムと比較して、敵対的例の見えにくさを向上させることができるか？
• RQ2 ノイズ耐性を最適化することで、JPEG圧縮やガウスノイズなどの物理的歪み下での敵対的例の耐性にどのような影響を与えるか？
• RQ3 提案手法は、FGSM、JSMA、L-BFGSなどの既存攻撃手法と比較して、多様な画像変換において、見えにくさと耐性の両面でどれほど優れているか？
• RQ4 本手法は、顔認識や道路標識認識などの特定の用途に限定されるのではなく、さまざまなニューラルネットワーク応用に一般化可能か？
• RQ5 知覚的見えにくさと耐性の間にはどのようなトレードオフがあり、統合的な最適化フレームワークによって両者を同時に最適化できるか？

主な発見

• ガウスノイズの標準偏差が0.05の条件下で、本手法は98.5%の成功率を達成し、JSMA（98.25%）、L-BFGS（86.8%）、FGSM（82.5%）を上回った。
• 最も高いノイズ強度（標準偏差=0.25）下でも、本手法は62%の成功率を維持し、FGSM（21.5%）、L-BFGS（28.6%）、JSMA（33.2%）を大きく上回った。
• JPEG圧縮下では76%の成功率を達成したのに対し、FGSMは52.3%にとどまり、本手法のロスリー圧縮に対する優れた耐性が示された。
• ノイズ強度が高くなるほど、本手法の耐性優位性が顕著に現れ、効果的なノイズ耐性最適化が実現された。
• 人間の知覚実験では2位にとどまったが、JSMAはより大きな、疎な摂動を用いるため、ノイズに対してより耐性があり、性能が優れていた。
• 本手法は、見えにくさと耐性を効果的にバランスさせ、アプリケーション特化のチューニングなしに、複数の物理的歪み条件下で最先端の性能を達成した。