[論文レビュー] Using Single-Step Adversarial Training to Defend Iterative Adversarial Examples

Guanxiong Liu, Issa Khalil+1 more|arXiv (Cornell University)|Feb 22, 2020

Adversarial Robustness in Machine Learning参考文献 20被引用数 6

ひとこと要約

本稿では、訓練のオーバーヘッドを著しく削減することで、単段階および反復的 adversarial 例の両方に対して効果的に防御できる、新しい単段階 adversarial 訓練手法 SIM-Adv を提案する。複数のエポックにわたり反復的 adversarial 例を段階的に単段階の摂動に平坦化することで、SIM-Adv は CIFAR10 において、Madry-Adv より 76.03% 少ない訓練時間で最先端のロバスト精度を達成し、ATDA より 35.67% 高いテスト精度を実現した。

ABSTRACT

Adversarial examples have become one of the largest challenges that machine learning models, especially neural network classifiers, face. These adversarial examples break the assumption of attack-free scenario and fool state-of-the-art (SOTA) classifiers with insignificant perturbations to human. So far, researchers achieved great progress in utilizing adversarial training as a defense. However, the overwhelming computational cost degrades its applicability and little has been done to overcome this issue. Single-Step adversarial training methods have been proposed as computationally viable solutions, however they still fail to defend against iterative adversarial examples. In this work, we first experimentally analyze several different SOTA defense methods against adversarial examples. Then, based on observations from experiments, we propose a novel single-step adversarial training method which can defend against both single-step and iterative adversarial examples. Lastly, through extensive evaluations, we demonstrate that our proposed method outperforms the SOTA single-step and iterative adversarial training defense. Compared with ATDA (single-step method) on CIFAR10 dataset, our proposed method achieves 35.67% enhancement in test accuracy and 19.14% reduction in training time. When compared with methods that use BIM or Madry examples (iterative methods) on CIFAR10 dataset, it saves up to 76.03% in training time with less than 3.78% degeneration in test accuracy.

研究の動機と目的

• 反復的 adversarial 訓練の高い計算コストが、モバイルやスマートホームデバイスなどのリソース制約のある環境での利用を制限する問題を解決すること。
• ATDA などの最先端の単段階防御手法の評価に内在する欠陥を特定すること。ATDA は報告された性能が優れているものの、反復的攻撃に対しては防御できない。
• 単段階および反復的 adversarial 例の両方に対して高いロバスト性を維持しながら、計算効率の高い防御手法を開発すること。
• 反復的 adversarial 訓練を改善する実用的なガイドラインを提供すること。具体的には、各ステップの摂動を大きくすることや、攻撃生成中に中間の adversarial 例を活用すること。

提案手法

• 提案手法 SIM-Adv は、複数の訓練エポックにわたり、段階的に反復的 adversarial 例を単段階の摂動に平坦化する方法で adversarial 例を生成する。
• 各エポックで多段階の反復的プロセスから導出された単段階 adversarial 例を適用する、変更を加えた adversarial 訓練ループを採用し、反復的攻撃のロバスト性を効果的に模倣する。
• ロバストネスと訓練効率のバランスを図るために、ステップ数と各ステップの摂動サイズ（$n_1$）を調整する。$n_1$ は性能に大きな影響を与える主要なハイパーパrameter である。
• 反復的プロセスから得られる中間 adversarial 例を活用することで、分類器の盲点を露呈させ、完全な反復的訓練を実施せずに一般化性能を向上させる。
• 各エポック間で勾配を保存・復元する処理を含めることで、adversarial 例生成の一貫性を維持し、標準的な単段階手法よりもわずかに訓練時間を延長する。
• 標準ベンチマーク（CIFAR10、FMNIST、MNIST）を用い、白ボックス攻撃モデル下で Free-Adv、ATDA、BIM-Adv、Madry-Adv と比較して評価した。

実験結果

リサーチクエスチョン

• RQ1 SOTA の単段階防御手法 ATDA は、報告された性能が優れているものの、なぜ反復的 adversarial 例に対して防御できないのか？
• RQ2 単段階 adversarial 訓練手法として、単段階および反復的 adversarial 例の両方に対してロバストに防御できる手法を設計できるか？
• RQ3 反復的 adversarial 訓練の訓練コストを削減しつつ、高いロバストネスを維持するための重要な設計原則は何か？
• RQ4 反復的攻撃からの中間例を単段階訓練フレームワークで活用することで、防御性能がどのように向上するのか？

主な発見

• CIFAR10 において、ATDA の元の評価が摂動限界が小さすぎるため誤解を招くものであったにもかかわらず、SIM-Adv は反復的 adversarial 例に対するテスト精度を ATDA より 35.67% 高く達成した。
• CIFAR10 では、Madry-Adv より 76.03% 少ない訓練時間で、テスト精度の低下は 3.78% 未満に抑えられた。
• SIM-Adv は、単段階および反復的 adversarial 例の両方に対して、Free-Adv や ATDA よりも優れたロバストネスを示し、優れた一般化性能と安定性を示した。
• CIFAR10 では BIM-Adv よりも 75% 以上の訓練時間を削減でき、MNIST や FMNIST では 60% 以上の削減が達成された。これにより、リソース制約のあるアプリケーションに実用的であることが示された。
• 分析の結果、ATDA の失敗は FGSM 例（代表的でない）の使用と、ランダムネスに脆弱なドメイン適応損失に起因しており、そのロバストネスが損なわれていた。
• 各ステップの摂動を大きくし、反復的攻撃からの中間例を活用することで、防御性能が顕著に向上した。これにより、今後の手法開発に役立つ実践的設計ガイドラインが得られた。