[論文レビュー] Adversarial Example in Remote Sensing Image Recognition

Li Chen, Guowei Zhu+2 more|arXiv (Cornell University)|Oct 29, 2019

Adversarial Robustness in Machine Learning参考文献 40被引用数 31

ひとこと要約

本稿は、深層畳み込みニューラルネットワーク（CNN）を用いたリモートセンシング画像（RSI）認識における敵対的サンプルの最初の分析を提示する。小さな、人間が感知できない摂動によっても、高精度なRSIモデルがだまされることを示し、モデルの脆弱性と攻撃の選択性——特に、CNN特徴空間において類似した特徴を持つクラスに誤分類が集中する現象——を明らかにする。

ABSTRACT

With the wide application of remote sensing technology in various fields, the accuracy and security requirements for remote sensing images (RSIs) recognition are also increasing. In recent years, due to the rapid development of deep learning in the field of image recognition, RSI recognition models based on deep convolution neural networks (CNNs) outperform traditional hand-craft feature techniques. However, CNNs also pose security issues when they show their capability of accurate classification. By adding a very small variation of the adversarial perturbation to the input image, the CNN model can be caused to produce erroneous results with extremely high confidence, and the modification of the image is not perceived by the human eye. This added adversarial perturbation image is called an adversarial example, which poses a serious security problem for systems based on CNN model recognition results. This paper, for the first time, analyzes adversarial example problem of RSI recognition under CNN models. In the experiments, we used different attack algorithms to fool multiple high-accuracy RSI recognition models trained on multiple RSI datasets. The results show that RSI recognition models are also vulnerable to adversarial examples, and the models with different structures trained on the same RSI dataset also have different vulnerabilities. For each RSI dataset, the number of features also affects the vulnerability of the model. Many features are good for defensive adversarial examples. Further, we find that the attacked class of RSI has an attack selectivity property. The misclassification of adversarial examples of the RSIs are related to the similarity of the original classes in the CNN feature space. In addition, adversarial examples in RSI recognition are of great significance for the security of remote sensing applications, showing a huge potential for future research.

研究の動機と目的

• 深層畳み込みニューラルネットワーク（CNN）を用いたリモートセンシング画像（RSI）認識システムにおける敵対的サンプルの存在と影響を調査すること。
• さまざまな高精度なRSI認識モデルが、異なる敵対的攻撃アルゴリズムに対してどれほど脆弱であるかを評価すること。
• モデルアーキテクチャ、データセットの特徴、敵対的摂動への感受性との関係を分析すること。
• 特に攻撃の選択性に起因する敵対的誤分類の背後にある幾何学的および特徴空間的性質を調査すること。
• 安全で堅牢なCNNベースのRSI応用分野における将来の防御機構の基盤的知見を提供すること。

提案手法

• 異なるRSIデータセット上で事前に訓練されたRSI認識モデルを、複数の敵対的攻撃アルゴリズム（例：FGSM、PGD）を用いてだますこと。
• 同じRSIデータセット上で、異なるアーキテクチャを持つ複数のCNNモデルを訓練し、敵対的サンプルに対する脆弱性を比較すること。
• 訓練済みモデルの最終全結合層から特徴を抽出し、CNN特徴空間におけるRSIクラスの幾何的分布を分析すること。
• t-SNE次元削減から導かれたクラスタ中心点との間のL2距離を計算し、特徴の類似度を評価すること。
• t-SNE可視化を用いて、高次元のRSI特徴を低次元空間にマップし、敵対的サンプルのクラスタリングを分析すること。
• 攻撃成功率と敵対的サンプルのクラス分布を評価し、誤分類のパターンと攻撃の選択性を特定すること。

実験結果

リサーチクエスチョン

• RQ1 深層畳み込みニューラルネットワーク（CNN）を用いたRSI認識モデルは、高い分類精度を示しても、敵対的サンプルに対して脆弱であるか？
• RQ2 モデルアーキテクチャやトレーニングデータセットのスケールが、RSIモデルの敵対的攻撃への感受性に与える影響は何か？
• RQ3 CNN特徴空間におけるクラスの類似度と、敵対的誤分類の可能性に相関があるか？
• RQ4 敵対的サンプルは特定のクラスに偏って誤分類される傾向があるか？ もしそうなら、その選択性は何かによって決定されるか？
• RQ5 特徴空間におけるクラスタ境界に近いデータポイントの幾何的配置は、特定のRSIサンプルが敵対的摂動に対して脆弱である理由を説明できるか？

主な発見

• 深層畳み込みニューラルネットワーク（CNN）を用いたRSI認識モデルは、敵対的サンプルに対して脆弱であり、最小限で人間が感知できない摂動によっても攻撃が成功することが確認された。
• 同じRSIデータセットで訓練された異なるアーキテクチャのモデルは、同じ攻撃アルゴリズムに対しても、脆弱性の度合いに差が見られた。
• モデル内の特徴数が増えるほど、脆弱性が低下する傾向にあり、一般的に特徴数が多いモデルは感受性が低い。
• 敵対的サンプルは強い攻撃の選択性を示しており、誤分類が主にCNN特徴空間で類似した特徴を持つクラスに集中している。
• 特徴空間におけるクラスタ境界に近いデータポイントは、クラスタ中心に近いものよりも敵対的摂動に対してより感受性が高かった。
• 実験全体を通して最も頻繁に攻撃対象となったクラスは「beach」であり、特定のクラスが特徴の特性により本質的に脆弱である可能性が示唆された。