[論文レビュー] Perceptual Quality-preserving Black-Box Attack against Deep Learning Image Classifiers

Diego Gragnaniello, Francesco Marra+2 more|arXiv (Cornell University)|Feb 20, 2019

Adversarial Robustness in Machine Learning被引用数 6

ひとこと要約

本稿では、深層学習画像分類器向けに、視認性品質を保ちつつ攻撃効果を高めるブラックボックス攻撃（PQP）を提案する。この手法は、摂氏歪み指標（SSIM）の勾配が小さい領域（すなわち、画像品質への影響が最小限であるが分類に与える影響が最大限である領域）にのみ、敵対的ノイズを注入する。軽量なCNNを用いてSSIM勾配を効率的に計算し、摂氏歪み指標の勾配に基づいて摂氏歪みが小さい領域にのみ摂氏歪みを制限することで、最小限の歪みで高い攻撃成功率を達成。標準ベンチマークデータセットおよび実世界のバイオメトリクスシステムにおいて、既存手法を上回る性能を発揮する。

ABSTRACT

Deep neural networks provide unprecedented performance in all image classification problems, taking advantage of huge amounts of data available for training. Recent studies, however, have shown their vulnerability to adversarial attacks, spawning an intense research effort in this field. With the aim of building better systems, new countermeasures and stronger attacks are proposed by the day. On the attacker's side, there is growing interest for the realistic black-box scenario, in which the user has no access to the neural network parameters. The problem is to design efficient attacks which mislead the neural network without compromising image quality. In this work, we propose to perform the black-box attack along a low-distortion path, so as to improve both the attack efficiency and the perceptual quality of the adversarial image. Numerical experiments on real-world systems prove the effectiveness of the proposed approach, both in benchmark classification tasks and in key applications in biometrics and forensics.

研究の動機と目的

• 高い視認性品質を維持しつつ、強力な攻撃成功率を達成するブラックボックス敵対的攻撃を開発すること。
• 摂氏歪みへの影響が小さいが分類への影響が大きい画像領域を同定し、それらを攻撃の対象とすること。
• PNGやJPGなどの8ビット整数フォーマットでのみ受け入れる実世界のシステムへの効果的な攻撃を可能にすること。
• 特に準自動バイオメトリクスシステムにおいて、自然な見た目の敵対的サンプルを維持しつつ、クエリの複雑さを低減すること。
• 攻撃効率や画像品質を犠牲にせずに、防御戦略に対しても耐性を高めること。

提案手法

• 構造的類似度指標（SSIM）の勾配に基づき、視認性歪みが小さい領域を特定することで、摂氏歪みの小さい領域に摂氏歪みを制限する。
• バックプロパゲーションを用いて効率的にSSIM勾配を計算するための、専用の軽量CNNを訓練し、計算コストを最小限に抑えながらリアルタイムでの勾配推定を可能にする。
• 摂氏歪み勾配の大きさが小さい領域にのみ摂氏歪みを制限することで、視認性歪みを最小限に抑える。
• ブラックボックス環境に適した有限差分による勾配推定を用いたクエリベース最適化戦略を採用する。
• すべての摂氏歪みとクエリを8ビット整数値に制限することで、一般的な画像フォーマットおよび実世界システムとの互換性を確保する。
• 特定の誤分類を高信頼度で達成するように、修正された勾配上昇法を繰り返し適用して攻撃を最適化する。

実験結果

リサーチクエスチョン

• RQ1 SSIM勾配が小さい領域に摂氏歪みを集中させることで、敵対的攻撃の効果を高めつつ視認性の悪さを低減できるか？
• RQ2 リアルタイムでのブラックボックス攻撃に適した、軽量なCNNを用いてSSIM勾配を効率的に計算できるか？
• RQ3 SSIM勾配が小さい領域に摂氏歪みを制限することで、攻撃成功率を落とさずに視認性品質を向上させられるか？
• RQ4 8ビット整数フォーマットや防御機構といった実世界の制約下でも、本手法の性能はどの程度か？
• RQ5 クエリ効率、攻撃成功率、画像品質指標の観点から、既存のクエリベースブラックボックス攻撃を上回れるか？

主な発見

• ImageNet-1Kベンチマークにおいて、PQPはわずか18,244回のクエリで100％の攻撃成功率を達成し、I-FGSM（WB）およびIFDを上回るクエリ効率とSSIM（0.973 vs. 0.968および0.964）を達成した。
• MCS2018顔認識データセットでは、PQPは14,620回のクエリで100％の成功率とSSIM 0.977を達成し、IGE-QR-RG（SSIM 0.912）およびIFD（SSIM 0.964）を大きく上回った。
• 視覚的分析の結果、PQPで生成された敵対的画像は、極端なノイズ下でも歪みがほとんどなく、不自然なパターンを示さなかった。一方、他の手法は顕著なアーティファクトや色の歪みを生じさせた。
• PQPは全テスト条件下でも高い視認性品質を維持し、PSNRが35.0以上、PIQEスコアが15.24未満を記録し、歪みが少なく自然な外観であることを示した。
• 防御戦略や8ビット整数制約下でも、PQPは強力な性能を維持し、耐性と実用性を示した。
• MCS2018データセットにおいてγ=1.0の条件下で、PQPは13.44のPIQEスコアを達成し、他の手法（I-FGSM：23.16、IFD：22.34）と比較して優れた視認性品質を示した。