[論文レビュー] Analyzing and Improving Neural Networks by Generating Semantic Counterexamples through Differentiable Rendering

Lakshya Jain, Varun Chandrasekaran+7 more|arXiv (Cornell University)|Oct 2, 2019

Adversarial Robustness in Machine Learning参考文献 40被引用数 8

ひとこと要約

本稿では、微分可能レンダリングと市販の adversarial 攻撃を用いて、深層ニューラルネットワーク（DNN）のための現実的で意味的に意味のある反例を生成する手法を提案する。異なるiableな3Dシーンにおいて、物体の位置、方向、色といった意味的特徴を摂動することで、モデルの誤分類を引き起こす情報量が多く、現実的な adversarial 例を生成する。このアプローチにより、データ拡張を通じてDNNの耐性を向上させることができ、クリーンなテストセットにおいて最大50パーセンテージポイントの精度低下を引き起こしながらも、高い現実性を維持することができる。

ABSTRACT

Even as deep neural networks (DNNs) have achieved remarkable success on vision-related tasks, their performance is brittle to transformations in the input. Of particular interest are semantic transformations that model changes that have a basis in the physical world, such as rotations, translations, changes in lighting or camera pose. In this paper, we show how differentiable rendering can be utilized to generate images that are informative, yet realistic, and which can be used to analyze DNN performance and improve its robustness through data augmentation. Given a differentiable renderer and a DNN, we show how to use off-the-shelf attacks from adversarial machine learning to generate semantic counterexamples -- images where semantic features are changed as to produce misclassifications or misdetections. We validate our approach on DNNs for image classification and object detection. For classification, we show that semantic counterexamples, when used to augment the dataset, (i) improve generalization performance (ii) enhance robustness to semantic transformations, and (iii) transfer between models. Additionally, in comparison to sampling-based semantic augmentation, our technique generates more informative data in a sample efficient manner.

研究の動機と目的

• 物体の再配置、回転、照明変更などの現実的で意味的な変換に対するDNNの脆さを是正すること。
• モデルの脆弱性を露呈する現実的で意味的に意味のある adversarial 例を生成する手法を開発すること。
• これらの意味的反例を用いたデータ拡張により、DNNの耐性を向上させること。
• 異なるモデルやタスク間での意味的反例の転送性と一般化性を評価すること。
• 微分可能レンダリングが、高品質な意味的 adversarial 例を効率的かつサンプル効率よく生成可能であることを示すこと。

提案手法

• 3D-SDN や Redner といった微分可能レンダリングフレームワークを活用し、物体のポーズ、色、照明といった制御可能な意味的特徴を有する3Dシーンをモデル化する。
• 反復的FGSM、PGDの変種、Carlini-Wagner といった市販の adversarial 攻撃を、意味的特徴空間で用いて、モデルの誤分類を引き起こす摂動を生成する。
• 微分可能レンダラーを介して逆伝播を行い、モデル損失を最大化するように意味的パラメータを最適化するとともに、視覚的現実性を保持する。
• 摂動を加えた3Dシーンを再レンダリングすることで adversarial 例を生成し、物理的妥当性と意味的整合性を確保する。
• 生成された意味的反例を用いて訓練データを拡張し、DNNを再訓練することで耐性を向上させる。
• FIDスコアとLPIPS距離、および人間による評価で知覚的類似性を測定することで、現実性を評価する。

実験結果

リサーチクエスチョン

• RQ1 微分可能レンダリングを用いて、モデルの誤分類を引き起こす現実的で意味的な反例を生成できるか？
• RQ2 これらの意味的反例は、意味的変換に対するDNNの耐性向上にどの程度効果的か？
• RQ3 意味的反例は、異なるモデルやアーキテクチャ間でどの程度転送可能か？
• RQ4 この手法のサンプル効率は、サンプリングベースのデータ拡張戦略と比較してどの程度か？
• RQ5 生成された意味的反例の現実性と知覚的品質はどの程度か？

主な発見

• 微分可能レンダリングを用いて生成された意味的反例により、クリーンなテストセットでの精度が最大50パーセンテージポイント低下し、強力な adversarial 影響を示した。
• データ拡張に用いた場合、意味的反例は画像分類および物体検出タスクの両方で一般化性と耐性の向上をもたらした。
• 意味的反例を用いた再訓練により、mAPが7ポイント上昇し、良性のmAPはわずか15ポイント低下（99.4から84.73に）したため、強力な耐性向上が得られた。
• 本手法は高い現実性を達成しており、平均FIDスコアは0.102、平均LPIPS距離は0.524、人間による現実性評価は5段階中4.74点であった。
• 意味的反例は転送性を示した：SqueezeDet用に生成した反例は、YOLOv3のmAPを91.28％から87.50％に低下させ、モデル間での有効性を示した。
• サンプリングベースの拡張と比較して、本手法はより情報量の多いデータを少ないクエリ数で生成でき、優れたサンプル効率を示した。