[論文レビュー] Improved Adversarial Robustness via Logit Regularization Methods

Cecilia Summers, Michael J. Dinneen|arXiv (Cornell University)|Jun 10, 2019

Adversarial Robustness in Machine Learning参考文献 30被引用数 7

ひとこと要約

本稿では、深層ニューラルネットワークにおける adversarial robustness を向上させる強力で低コストな防御法として、ロジット正則化を提案する。アドバーシャル・ロジットペアリング（ALP）の分析と強化を通じて、特にラベルスムージングを用いたロジット正則化が、白ボックスおよびブラックボックス攻撃の両方に対して強力な耐性を示すことが示され、計算コストを最小限に抑えつつ、CIFAR-10 において最先端の手法を上回る性能を発揮する。

ABSTRACT

While great progress has been made at making neural networks effective across a wide range of visual tasks, most models are surprisingly vulnerable. This frailness takes the form of small, carefully chosen perturbations of their input, known as adversarial examples, which represent a security threat for learned vision models in the wild -- a threat which should be responsibly defended against in safety-critical applications of computer vision. In this paper, we advocate for and experimentally investigate the use of a family of logit regularization techniques as an adversarial defense, which can be used in conjunction with other methods for creating adversarial robustness at little to no marginal cost. We also demonstrate that much of the effectiveness of one recent adversarial defense mechanism can in fact be attributed to logit regularization, and show how to improve its defense against both white-box and black-box attacks, in the process creating a stronger black-box attack against PGD-based models. We validate our methods on three datasets and include results on both gradient-free attacks and strong gradient-based iterative attacks with as many as 1,000 steps.

研究の動機と目的

• アドバーシャル・ロジットペアリング（ALP）の背後にあるメカニズムを解明すること。
• ロジット正則化が、ロジットペアリングそのものよりも、ALP の耐性に寄与する程度を特定すること。
• アドバーシャルトレーニングを必要とせず、アドバーシャル耐性を向上させる代替のロジット正則化手法を探索すること。
• ロジット正則化とロジットペアリングを明確に分離することで、より優れた性能を達成する改良版 ALP を開発すること。
• ロジット正則化が、SPSA や 1,000 ステップの PGD といった強力な攻撃に対してブラックボックス防御としてどれほど有効であるかを評価すること。

提案手法

• 著者らは ALP を分析し、その耐性の約半分がロジットをゼロに正則化する効果に起因することを示した。
• ラベルスムージングとロジットに対する L2 正則化の2つの代替ロジット正則化手法を導入した。
• ロジットペアリングと正則化を分離した修正版 ALP の定式化を提案し、トレーニングの安定性と耐性の両方を向上させた。
• 強力な攻撃（1,000 ステップの PGD や勾配フリーの SPSA）を用いて、CIFAR-10、CIFAR-100、SVHN で手法を評価した。
• 白ボックスおよびブラックボックス設定下で、標準的なアドバーシャルトレーニング、ALP、ラベルスムージング、および提案手法（LRM）を比較した実験を行った。
• 公平な比較と再現可能性を確保するため、先行研究（例：[16], [28]）と同一の評価プロトコルを用いた。

実験結果

リサーチクエスチョン

• RQ1 ロジット正則化は、アドバーシャル・ロジットペアリング（ALP）の耐性にどの程度寄与しているか？
• RQ2 ラベルスムージングなどの代替ロジット正則化手法は、アドバーシャルトレーニングを必要とせずに、強力なアドバーシャル耐性を達成できるか？
• RQ3 ALP におけるロジット正則化とロジットペアリングの分離は、性能および耐性の向上に寄与するか？
• RQ4 SPSA や高ステップ数の PGD といった強力な攻撃に対して、ロジット正則化はブラックボックス防御としてどれほど有効か？
• RQ5 単純な手法であるラベルスムージングが、なぜブラックボックス攻撃に対して驚くほど強い耐性を示すのか？

主な発見

• ラベルスムージングは、クリーンデータでのみ学習した場合、CIFAR-10 において 10 ステップの PGD 攻撃に対して 40.9% の耐性精度を達成し、標準的なアドバーシャルトレーニングを上回った。
• 提案されたロジット正則化手法（LRM）は、CIFAR-10 において 1,000 ステップの PGD 攻撃に対して 51.1% の耐性精度を達成し、ALP や標準的なアドバーシャルトレーニングを上回った。
• 1,000 ステップの PGD 攻撃下で、LRM は ALP より 3.6 パcentage points、標準的なアドバーシャルトレーニングより 5.8 パcentage points の白ボックス耐性を向上させた。
• ラベルスムージングはブラックボックスの SPSA 攻撃に対しても効果を示し、8.9% の耐性精度を維持したのに対し、標準的なアドバーシャルトレーニングは 0.0% に低下した。
• 1,000 ステップの PGD 攻撃により、ラベルスムージングの耐性が高度に最適化された白ボックス攻撃では弱体化し、耐性精度が 7.2% に低下した。
• 本研究では、ロジット正則化が ALP の成功の主要因であり、標準的なアドバーシャルトレーニングに対する耐性向上の約半分を占めていることが確認された。