[論文レビュー] Transfer of Adversarial Robustness Between Perturbation Types

Daniel Kang, Yi Sun+3 more|arXiv (Cornell University)|May 3, 2019

Adversarial Robustness in Machine Learning参考文献 21被引用数 25

ひとこと要約

本稿では、深層ニューラルネットワークにおけるさまざまな摂動タイプ（例：$L_∞$、$L_2$、$L_1$、弾性変形、JPEG）間での敵対的ロバストネスの転送がどの程度起こるかを調査する。100クラスのImageNetサブセットを用いた敵対的訓練を通じて、ある摂動タイプに対するロバストネスが他のタイプに一貫して転送されないことが示され、一部のタイプ（例：弾性変形）に対するロバストネスを向上させる訓練は、他のタイプに対するロバストネスを低下させる可能性がある。主な貢献は、包括的なロバストネス評価を確実にするために、多様な摂動タイプとサイズを用いて防御を評価するべきであるという提言である。

ABSTRACT

We study the transfer of adversarial robustness of deep neural networks between different perturbation types. While most work on adversarial examples has focused on $L_\infty$ and $L_2$-bounded perturbations, these do not capture all types of perturbations available to an adversary. The present work evaluates 32 attacks of 5 different types against models adversarially trained on a 100-class subset of ImageNet. Our empirical results suggest that evaluating on a wide range of perturbation sizes is necessary to understand whether adversarial robustness transfers between perturbation types. We further demonstrate that robustness against one perturbation type may not always imply and may sometimes hurt robustness against other perturbation types. In light of these results, we recommend evaluation of adversarial defenses take place on a diverse range of perturbation types and sizes.

研究の動機と目的

• 1つの摂動タイプ（例：$L_\infty$）に対して訓練された敵対的ロバストネスが、他の自然な摂動タイプ（例：$L_2$、$L_1$、弾性変形、JPEG）に一般化するかを調査すること。
• 摂動の大きさ（$\varepsilon$）を変化させた場合、異なる攻撃タイプ間でのロバストネス転送にどのような影響を与えるかを評価すること。
• 特定の攻撃（例：$L_2$）に対して敵対的訓練を施した場合、広く用いられている$L_\infty$訓練よりも一般化性能が優れているかどうかを評価すること。
• ある摂動タイプに対するロバストネスが、他のタイプに対しても成り立つとは限らず、場合によっては他の攻撃に対して性能が低下する可能性があることを示すこと。
• 多様な摂動タイプとサイズを用いた評価を通じて、敵対的防御の実効性を評価するための実証的ガイドラインを提供すること。

提案手法

• ResNet-50モデルを、$L_\infty$、$L_2$、$L_1$、弾性変形、JPEG の5種類の摂動タイプに分け、合計32の攻撃を用いて100クラスのImageNetサブセット上で敵対的訓練を実施した。
• 各攻撃タイプに対して複数の$\varepsilon$値を用い、幾何的スケーリングを適用することで、タイプ間で同等の攻撃強度が得られるようにした。
• $L_\infty$および$L_2$攻撃にはProjected Gradient Descent (PGD) を、$L_1$攻撃にはFrank-Wolfe最適化を適用した。
• 弾性変形攻撃は、学習可能なパラメータを用いた空間変換により実装し、JPEG攻撃は、さまざまな品質因子を用いた標準的な画像圧縮を用いた。
• すべての32の攻撃設定に対して、モデルのロバストネスを評価した。攻撃はターゲット付きで実施され、ランダムなターゲットクラスが使用された。
• ロバストネスは、各攻撃タイプと$\varepsilon$値におけるクリーンな精度として測定され、さまざまな$\varepsilon$範囲にわたって分析された。

実験結果

リサーチクエスチョン

• RQ1 1. $L_\infty$ などの1つの摂動タイプに対して訓練された敵対的ロバストネスは、$L_2$、$L_1$、弾性変形、JPEG などの他の自然摂動タイプに対しても効果的に転送されるか？
• RQ2 2. $\varepsilon$（摂動の大きさ）の選択が、異なる攻撃タイプ間でのロバストネス転送にどのように影響するか？
• RQ3 3. 弾性変形などの特定の攻撃タイプに対して敵対的訓練を施すと、他の攻撃タイプに対するロバストネスが低下する可能性はあるか？
• RQ4 4. $L_2$に基づく敵対的訓練は、$L_\infty$に基づく訓練よりも、より優れた一般化ロバストネスをもたらすのか？
• RQ5 5. 1つの摂動タイプと1つの$\varepsilon$値でのみロバストネスを評価すると、モデルの真のロバストネスについて誤った結論を下す可能性があるのはどの程度か？

主な発見

• 弾性変形攻撃に対するロバストネスは、他の摂動タイプに転送されない。弾性変形攻撃に耐性を持つように訓練されたモデルは、$L_\infty$、$L_2$、$L_1$ 攻撃に対して低い精度を示す。
• $\varepsilon \geq 4$ で弾性変形攻撃に対して敵対的訓練を施すと、弾性変形攻撃に対するロバストネスは向上するが、他のすべての攻撃タイプに対する精度は低下する。これは負の転送効果を示している。
• $L_2$ 攻撃に対して$\varepsilon = 4800$で敵対的訓練を施すと、適応的$\varepsilon$を用いた$L_\infty$訓練と同等またはそれ以上のロバストネスが得られ、特に強い攻撃に対して優れた性能を示す。
• 1つの攻撃タイプごとに1つの$\varepsilon$値でのみロバストネスを評価すると、誤った結論に至る可能性がある。ロバストネス転送は$\varepsilon$範囲の選択に極めて敏感である。
• $L_\infty$ 攻撃に対してロバストに学習されたモデルが、$L_2$ や$L_1$ 攻撃に一般化しないことは、$L_p$ノルム間での転送が限定的であることを示している。
• 本研究では、$L_p$以外のタイプ（例：JPEG や弾性変形）に対するロバストネスが、他のタイプに一般化すると仮定できないことが実証された。$\varepsilon$の選定に細心の注意を払ったとしても同様である。