[論文レビュー] Keeping the Bad Guys Out: Protecting and Vaccinating Deep Learning with JPEG Compression

Nilaksh Das, Madhuri Shanbhogue+5 more|arXiv (Cornell University)|May 8, 2017

Adversarial Robustness in Machine Learning参考文献 22被引用数 242

ひとこと要約

本論文は JPEG 圧縮を敵対的攻撃に対する画像分類器の前処理防御として示し、圧縮画像での訓練と複数モデルのアンサンブルによって FGSM と DeepFool のような攻撃を堅牢に counter する vaccination 戦略を導入する。

ABSTRACT

Deep neural networks (DNNs) have achieved great success in solving a variety of machine learning (ML) problems, especially in the domain of image recognition. However, recent research showed that DNNs can be highly vulnerable to adversarially generated instances, which look seemingly normal to human observers, but completely confuse DNNs. These adversarial samples are crafted by adding small perturbations to normal, benign images. Such perturbations, while imperceptible to the human eye, are picked up by DNNs and cause them to misclassify the manipulated instances with high confidence. In this work, we explore and demonstrate how systematic JPEG compression can work as an effective pre-processing step in the classification pipeline to counter adversarial attacks and dramatically reduce their effects (e.g., Fast Gradient Sign Method, DeepFool). An important component of JPEG compression is its ability to remove high frequency signal components, inside square blocks of an image. Such an operation is equivalent to selective blurring of the image, helping remove additive perturbations. Further, we propose an ensemble-based technique that can be constructed quickly from a given well-performing DNN, and empirically show how such an ensemble that leverages JPEG compression can protect a model from multiple types of adversarial attacks, without requiring knowledge about the model.

研究の動機と目的

• 画像分類における敵対的摂動に対するシンプルでモデルに依存しない防御を動機づける。
• 敵対ノイズを除去しつつ良性精度を損なわないよう JPEG 圧縮を前処理として評価する。
• JPEG 圧縮画像での訓練（vaccination）を提案し頑健性を向上させる。
• 複数の JPEG 品質レベルにまたがる vaccinated モデルのアンサンブルを構築し、転移可能な攻撃を緩和する。

提案手法

• 分類前の前処理として JPEG 圧縮を品質レベルを変えて適用する。
• CIFAR-10 および GTSRB データセットに対する FGSM および DeepFool 攻撃に対して評価する。
• 品質レベル 100 から 20 までの JPEG 圧縮画像でモデルを訓練する（vaccination） 。
• 複数の JPEG 品質で vaccination モデルのアンサンブルを構築し、予測に投票させて攻撃の影響を低減する。

実験結果

リサーチクエスチョン

• RQ1 分類前の JPEG 圧縮は CIFAR-10 および GTSRB における敵対的攻撃の効果を低減するか？
• RQ2 JPEG 圧縮画像で訓練する（vaccination）は敵対的摂動への頑健性を向上させるか？
• RQ3 異なる JPEG 品質を跨ぐ vaccination モデルのアンサンブルは単一モデルより強い防御を提供するか？
• RQ4 JPEG 品質は benign accuracy と敵対的耐性にどのような影響を与えるか？

主な発見

データセット	条件	元のシナリオ	私たちのアンサンブルあり
CIFAR-10	良性画像	82.88%	83.19%
CIFAR-10	FGSM ε=0.02	28.97%	79.57%
CIFAR-10	DeepFool	27.44%	82.71%
GTSRB	良性画像	97.83%	98.59%
GTSRB	FGSM ε=0.08	41.00%	73.37%
GTSRB	DeepFool	68.19%	91.70%

• JPEG 圧縮は CIFAR-10 と GTSRB に対する FGSM および DeepFool 攻撃を打ち消すことができ、圧縮が進むほど初期の攻撃成功率を低下させることが多い。
• JPEG 圧縮画像で訓練することによるモデルの vaccination は敵対的なテストセット全体で頑健性を向上させる。
• 複数の品質レベルで画像を圧縮して投票する vaccination モデルのアンサンブルは、元のモデルと比べて攻撃時の誤分類を著しく低減する。
• CIFAR-10 では、アンサンブルは FGSM で 28.97% → 79.57%、DeepFool で 27.44% → 82.71% の精度を大幅に向上させた。
• GTSRB では、アンサンブルは FGSM で 41.00%、DeepFool で 68.19% → それぞれ 73.37%、91.70% の頑健性を向上させた。
• 低い JPEG 品質は JPEG アーティファクトのため一部データセット（特に CIFAR-10）で benign accuracy が低下する可能性がある；より大きな画像（GTSRB）では劣化が少ない。）