[論文レビュー] VectorDefense: Vectorization as a Defense to Adversarial Examples

Vishaal Munusamy Kabilan, Brandon Morris+1 more|arXiv (Cornell University)|Apr 23, 2018

Adversarial Robustness in Machine Learning被引用数 6

ひとこと要約

VectorDefenseは、入力画像をPotraceを用いてベクターグラフィックスに変換し、再びビットマップに変換するという手法により、 adversarialな摂動をなめらかにすることで、 adversarialな例に対する防御を提案している。この手法は、最新の攻撃に対して競争力ある耐性を示しており、特に低予算の摂動において顕著である。また、手動で設計された入力変換が有効である可能性を示しているが、Defense-GANのような学習済み事前分布を用いる手法に比べてやや劣る。

ABSTRACT

Training deep neural networks on images represented as grids of pixels has brought to light an interesting phenomenon known as adversarial examples. Inspired by how humans reconstruct abstract concepts, we attempt to codify the input bitmap image into a set of compact, interpretable elements to avoid being fooled by the adversarial structures. We take the first step in this direction by experimenting with image vectorization as an input transformation step to map the adversarial examples back into the natural manifold of MNIST handwritten digits. We compare our method vs. state-of-the-art input transformations and further discuss the trade-offs between a hand-designed and a learned transformation defense.

研究の動機と目的

• 画像のベクタライゼーションが adversarialな例に対する有効な入力変換防御として機能するかどうかを調査すること。
• 白箱および grayout モデルの両方の脅威環境下で、複数の最新の adversarial 攻撃手法に対する VectorDefense の耐性を評価すること。
• ベクタライゼーションのような手動設計の入力変換と、Defense-GAN などの学習済み事前分布を用いる防御との間で、有効性および耐性の観点から比較すること。
• 摂動予算が防御性能に与える影響を分析し、JSMA および C&W $L_0$ 攻撃の予算に配慮した変種を導入すること。
• ベクタライズド表現の解釈可能性およびコンパクト性を今後の耐性学習の基盤として探求すること。

提案手法

• 入力画像はまず、Potraceアルゴリズムを用いてビットマップからベクターフォーマット（SVG）に変換され、エッジがストロークや楕円などの幾何的プリミティブにトレースされる。
• 変換されたベクターグラフィックは元の解像度で再びラスタライズされ、事前に訓練された分類器に供給される。
• 防御は前処理ステップとして機能し、分類器の再訓練を必要とせず、モデルに依存せず、攻撃に依存しない。
• この手法は、ベクターグラフィックスの解像度に依存しない性質および滑らかさの特性を活用し、局所的でピクセル単位の adversarial 摂動を抑制する。
• MNIST上で6つの最新の攻撃手法（I-FGSM、DeepFool、JSMA、C&W $L_0$ など）を用いて評価されている。
• 摂動に影響を受けるピクセル数を制御できるように、攻撃の予算に配慮した変種が導入され、異なる摂動予算下での防御性能の分析が可能になった。

実験結果

リサーチクエスチョン

• RQ1 画像のベクタライゼーションは、MNISTにおける最新の adversarial 攻撃の成功率を効果的に低下させることができるか？
• RQ2 ビット深度の低減や画像キルティングといった他の手動設計の入力変換防御と比較して、VectorDefenseの耐性はいかがであるか？
• RQ3 摂動予算が増加するにつれて VectorDefense の性能は低下するか？ また、Defense-GAN などの学習済み事前分布を用いる防御と比較するとどうなるか？
• RQ4 白箱攻撃モデル下で VectorDefense は回避可能か？ それを欺くためにどの程度の歪みが必要か？
• RQ5 Defense-GAN が成功するが VectorDefense が失敗する状況において、摂動を加えられた画像の構造的差異は何か？

主な発見

• VectorDefenseは6つの最新の攻撃に対して、特に低予算の摂動条件下で顕著な耐性を示し、 adversarial 攻撃の成功率を顕著に低下させた。
• 40ピクセルの摂動予算下で、I-FGSM 攻撃に対して VectorDefense は62.5％の成功率を達成し、ビット深度の低減や画像キルティングを上回った。
• 40ピクセルの摂動予算下の強い $L_0$ 攻撃では、Defense-GAN が87.5％の成功率を示し、VectorDefense の62.5％を上回った。
• 白箱攻撃（BPDA）では、VectorDefense は分類器を欺くために $L_2$ 歪みが5.30に達する必要があり、防御なしの状態（2.97）に比べて著しく高い歪みを要した。これは、耐性の向上を示している。
• 定性的な分析から、VectorDefense はしばしば「6」を「0」に変換するように、視覚的に妥当なが誤ったラベルを持つ画像に変換する傾向がある一方、Defense-GAN は元のクラスをよりよく保持していた。
• 結果から、極端な摂動に対処するには、学習済み事前分布（例：Defense-GAN）が、手動設計の変換（例：ベクタライゼーション）よりも効果的であると考えられる。