[論文レビュー] Traits & Transferability of Adversarial Examples against Instance Segmentation & Object Detection.

Raghav Gurbaxani, Shivank Mishra|arXiv (Cornell University)|Aug 4, 2018

Adversarial Robustness in Machine Learning参考文献 18被引用数 3

ひとこと要約

本論文は、実世界の変換（スケーリング、回転、照明変更など）を伴うインスタンスセグメンテーションおよびオブジェクト検出モデルに対する adversarial 例の転送性とロバスト性を調査する。FGSM、DeepFool、C&W L2 攻撃を用いて、特に臨界閾値を超えると、adversarial パーティクルの効果が著しく低下することが示され、複雑なビジョンパイプラインにおいて、特にクロスネットワークおよびクロスタスクの転送性が制限されることが明らかになった。

ABSTRACT

Despite the recent advancements in deploying neural networks for image classification, it has been found that adversarial examples are able to fool these models leading them to misclassify the images. Since these models are now being widely deployed, we provide an insight on the threat of these adversarial examples by evaluating their characteristics and transferability to more complex models that utilize Image Classification as a subtask. We demonstrate the ineffectiveness of adversarial examples when applied to Instance Segmentation & Object Detection models. We show that this ineffectiveness arises from the inability of adversarial examples to withstand transformations such as scaling or a change in lighting conditions. Moreover, we show that there exists a small threshold below which the adversarial property is retained while applying these input transformations. Additionally, these attacks demonstrate weak cross-network transferability across neural network architectures, e.g. VGG16 and ResNet50, however, the attack may fool both the networks if passed sequentially through networks during its formation. The lack of scalability and transferability challenges the question of how adversarial images would be effective in the real world.

研究の動機と目的

• インスタンスセグメンテーションおよびオブジェクト検出のような複雑なビジョンモデルをだますために adversarial 例の有効性を評価すること。
• スケーリング、回転、照明変更などの実世界の画像変換が adversarial ロバスト性に与える影響を調査すること。
• 異なるアーキテクチャ（例：VGG16、ResNet50）間での adversarial 攻撃のクロスネットワーク転送性を評価すること。
• 分類からキャプション生成や検出への adversarial 例のタスク間転送可能性を検討すること。
• 複数のモデルを同時にだます能力を高めるために、複数のネットワークを経て逐次的に adversarial 画像を生成する手法の有効性を特定すること。

提案手法

• ImageNet で事前学習されたモデルに対して、ターゲット付きおよびターゲットなしの FGSM、DeepFool、C&W L2 攻撃を適用した。
• ロバスト性を評価するために、クロッピング、スケーリング、回転、照明調整などの入力変換を適用した。
• 変換後の adversarial 性質が保持される最小の摂動サイズを特定するために、閾値ベースの分析を実施した。
• 同じデータセットで異なるモデルを使用するクロスネットワーク設定と、異なるデータセットで類似したアーキテクチャを使用するクロスタスク設定を用いて、転送性を評価した。
• 複数のネットワーク（例：ResNet50 → VGG16）を経て逐次的に adversarial 画像を生成することで、同時に複数のモデルをだます能力をテストした。
• 事前学習済みモデルを用いて、下流タスク（インスタンスセグメンテーション、オブジェクト検出、画像キャプション生成）における攻撃成功率を評価した。

実験結果

リサーチクエスチョン

• RQ1 一般的な画像変換（スケーリング、回転、照明）は、複雑なビジョンタスクにおける adversarial 例の adversarial ロバスト性にどのように影響するか？
• RQ2 変換後に adversarial パーティクルが有効なまま保たれる最小の閾値は何か？
• RQ3 ImageNet 上の異なるニューラルネットワークアーキテクチャ（例：VGG16 対 ResNet50）間で adversarial 例の転送性はどの程度か？
• RQ4 実世界の条件下で、adversarial 例はインスタンスセグメンテーションおよびオブジェクト検出モデルを効果的にだますことができるか？
• RQ5 複数のネットワークを経て逐次的に adversarial 画像を生成することで、複数のモデルを同時にだます能力と転送性が向上するか？

主な発見

• スケーリング、回転、照明変更などの一般的な実世界の変換を受けると、adversarial 例のだます能力が著しく低下し、特に臨界閾値を超えると顕著になる。
• 変換後も adversarial 性質が保持される最小の摂動サイズが存在し、これはロバスト性の領域を示している。
• 異なるアーキテクチャ（例：VGG16 と ResNet50）間での adversarial 例の転送性は弱く、ImageNet では低成功率にとどまる。
• インスタンスセグメンテーションおよびオブジェクト検出モデルはクロッピングや局所的分類に依存しているため、adversarial 攻撃の転送は効果的に機能しない。
• 逐次的な adversarial 画像生成（例：ResNet50 用に adversarial 画像を生成し、それをもとに VGG16 用に再生成）により、1枚の画像で両方のネットワークを同時にだますことが可能になる。
• 訓練設定が先行研究と明示的に一致しない限り、adversarial 例は画像キャプション生成モデルに転送されないことが示され、タスク特異的な感受性が確認された。