[論文レビュー] Using Non-invertible Data Transformations to Build Adversary-Resistant Deep Neural Networks.

Qinglong Wang, Wenbo Guo+7 more|arXiv (Cornell University)|Oct 6, 2016

Adversarial Robustness in Machine Learning参考文献 28被引用数 5

ひとこと要約

本論文は、モデルの推論前に非可逆なデータ変換（特に線形および非線形次元削減）を適用することにより、敵対的攻撃に対して深層ニューラルネットワークのロバスト性を向上させる包括的フレームワークを提案する。このアプローチは、最先端の防御手法と比較して、精度の低下を最小限に抑えつつ優れた敵対的耐性を達成する。

ABSTRACT

Deep neural networks have proven to be quite effective in a wide variety of machine learning tasks, ranging from improved speech recognition systems to advancing the development of autonomous vehicles. However, despite their superior performance in many applications, these models have been recently shown to be susceptible to a particular type of attack possible through the generation of particular synthetic examples referred to as adversarial samples. These samples are constructed by manipulating real examples from the training data distribution in order to fool the original neural model, resulting in misclassification (with high confidence) of previously correctly classified samples. Addressing this weakness is of utmost importance if deep neural architectures are to be applied to critical applications, such as those in the domain of cybersecurity. In this paper, we present an analysis of this fundamental flaw lurking in all neural architectures to uncover limitations of previously proposed defense mechanisms. More importantly, we present a unifying framework for protecting deep neural models using a non-invertible data transformation--developing two adversary-resilient architectures utilizing both linear and nonlinear dimensionality reduction. Empirical results indicate that our framework provides better robustness compared to state-of-art solutions while having negligible degradation in accuracy.

研究の動機と目的

• すべてのアーキテクチャにわたる深層ニューラルネットワークの敵対的サンプルに対する根本的脆弱性を分析すること。
• 敵対的攻撃に対する既存の防御メカニズムの限界を特定すること。
• 非可逆なデータ変換を用いたモデルのロバスト性を向上させる包括的フレームワークを開発すること。
• 線形および非線形次元削減が敵対的耐性向上にどのように寄与するかを評価すること。

提案手法

• 敵対的摂動の干渉を防ぐために、深層ニューラルネットワークに入力するデータに非可逆なデータ変換を適用する。
• 入力データを低次元空間に射影するための線形次元削減技術（例：PCA）を用いる。
• 自己符号化器を用いた非線形次元削減法により、非可逆な表現を学習する。
• 入力処理パイプラインにこれらの変換を統合することで、線形と非線形の変換に基づく2つの敵対的耐性を持つニューラルネットワークアーキテクチャを設計する。
• 元のデータ分布をできるだけ保ちながら、変換済みのデータで深層ニューラルモデルを学習する。
• 変換が非可逆であることを保証し、攻撃者が元の入力を再構築して標的の敵対的例を生成するのを防ぐ。

実験結果

リサーチクエスチョン

• RQ1 非可逆なデータ変換は、深層ニューラルネットワークの敵対的攻撃に対するロバスト性にどのように影響を与えるか？
• RQ2 線形と非線形次元削減の間で、敵対的例に対する防御において相対的にどのような利点があるか？
• RQ3 非可逆変換は、ロバスト性を向上させる一方で、モデルの精度をどの程度保持できるか？
• RQ4 非可逆変換に基づく統一的フレームワークは、既存の最先端防御手法を上回ることができるか？

主な発見

• 提案されたフレームワークは、最先端の防御手法と比較して、敵対的攻撃に対するより優れたロバスト性を示した。
• 非可逆変換の適用により、敵対的摂動の生成を困難にするように入力空間を歪めることで、敵対的攻撃の成功率が顕著に低下した。
• 線形および非線形次元削減の両方がモデルの耐性を効果的に高めたが、非線形手法がより強力な防御能力を示した。
• このフレームワークは、クリーンな入力に対する標準精度の低下をほとんど認めなかった。
• 変換の非可逆性により、攻撃者が元の入力を復元するのを防ぎ、効果的な敵対的例の生成を制限した。