[論文レビュー] Fraternal Twins: Unifying Attacks on Machine Learning and Digital Watermarking

Erwin Quiring, Daniel J. Arp+1 more|arXiv (Cornell University)|Mar 16, 2017

Adversarial Robustness in Machine Learning参考文献 58被引用数 5

ひとこと要約

本論文は、機械学習におけるブラックボックス攻撃とデジタルウォーターマーキングの概念的類似性を明らかにすることで、両者を統合的な枠組みで統合する。両者とも、意思決定境界を越えるために最小限の摂動を加えることに基づく。デジタルウォーターマーキングの防御（例：ステートフル検出）が機械学習におけるモデル抽出攻撃を軽減できることを示し、また機械学習のハードニング技術（例：分類器の多様性）がウォーターマーキングにおけるオラクル攻撃に対して防御可能であることを示し、セキュリティメカニズムの分野間移転を可能にする。

ABSTRACT

Machine learning is increasingly used in security-critical applications, such as autonomous driving, face recognition and malware detection. Most learning methods, however, have not been designed with security in mind and thus are vulnerable to different types of attacks. This problem has motivated the research field of adversarial machine learning that is concerned with attacking and defending learning methods. Concurrently, a different line of research has tackled a very similar problem: In digital watermarking information are embedded in a signal in the presence of an adversary. As a consequence, this research field has also extensively studied techniques for attacking and defending watermarking methods. The two research communities have worked in parallel so far, unnoticeably developing similar attack and defense strategies. This paper is a first effort to bring these communities together. To this end, we present a unified notation of black-box attacks against machine learning and watermarking that reveals the similarity of both settings. To demonstrate the efficacy of this unified view, we apply concepts from watermarking to machine learning and vice versa. We show that countermeasures from watermarking can mitigate recent model-extraction attacks and, similarly, that techniques for hardening machine learning can fend off oracle attacks against watermarks. Our work provides a conceptual link between two research fields and thereby opens novel directions for improving the security of both, machine learning and digital watermarking.

研究の動機と目的

• 機械学習におけるブラックボックス攻撃とデジタルウォーターマーキングの間の概念的類似性を特定・形式化すること。
• 互いに独立して発展したが、類似した攻撃・防御戦略を採用している2つの研究コミュニティの溝を埋めること。
• 特に防御を含む、機械学習とデジタルウォーターマーキングの間でのセキュリティメカニズムの移転を可能にすること。
• 実証的ケーススタディを通じて、分野間防御移転の実効性を示すこと。
• ウォーターマーキングコンテストを模倣した敵対的機械学習コンペティションを含む、新たな研究方向性の提案。

提案手法

• ドメイン固有の詳細から抽象化された、ブラックボックス攻撃の統一的表記法を導入し、最小入力摂動による意思決定境界の越え方を焦点に置く。
• 機械学習の回避攻撃とウォーターマーキング破壊の両者を、共有される構造的性質を持つ敵対的摂動問題としてモデル化する。
• デジタルウォーターマーキングから得たステートフル検出メカニズムを、意思決定木におけるモデル抽出攻撃の防御に適用する。
• 機械学習から得た分類器の多様性技術を応用し、ウォーターマーキングシステムをオラクル攻撃から強化する。
• ベンチマークデータセット（例：Wine Quality, Orange Juice）を用いた実証的評価により、クエリアクセスの変動に応じた攻撃成功確率を測定する。
• 制御されたカバークエリレートを有する木抽出アルゴリズムを用い、モデル抽出攻撃をシミュレートし、防御の耐性を評価する。

実験結果

リサーチクエスチョン

• RQ1 機械学習におけるブラックボックス攻撃とデジタルウォーターマーキングは、どの程度共通の下位構造を共有しているか？
• RQ2 デジタルウォーターマーキングで開発された防御が、機械学習におけるモデル抽出攻撃を効果的に軽減できるか？
• RQ3 分類器の多様性といった、敵対的機械学習の技術が、オラクル攻撃に対してウォーターマーキングシステムを強化するために応用可能か？
• RQ4 この統合的視点が、両分野における新しい共同防御の設計にどのような意味を持つのか？
• RQ5 ウォーターマーキングコンテストを模倣した公開コンペティションは、実世界における敵対的耐性をどのように向上させ得るか？

主な発見

• デジタルウォーターマーキング由来のステートフル防御は、意思決定木におけるモデル抽出攻撃の成功率を顕著に低下させ、クエリ数が40倍増加しても100％の保護を達成した。
• 機械学習における分類器の多様性は、ウォーターマーキングに対するオラクル攻撃の成功率を低下させ、Wine Qualityデータセットにおいてクエリ負荷が5倍の条件下で攻撃成功率を0.98から0.46に低下させた。
• 統一された攻撃モデルは、両分野が意思決定境界を越えるために最小摂動に依存していることを示し、共通のアルゴリズム的原則を示唆している。
• 適応的再学習やラインサーチ検出（例：PCAベース）といった防御は、相互に移転可能であり、両分野における耐性向上に貢献できる可能性がある。
• 本研究は、ステートフル検出戦略が機械学習分野で未だに十分に検討されていないこと、新たな防御の道筋を示している。
• 著者らは、成功したウォーターマーキングコンテスト（例：BOWS）を模倣した公開コンペティションを敵対的機械学習分野で実施すべきだと提言し、実世界の脆弱性を特定し、分野の前進を促進する。