[論文レビュー] Retrieval-Augmented Convolutional Neural Networks for Improved Robustness against Adversarial Examples

Jake Zhao, Kyunghyun Cho|arXiv (Cornell University)|Feb 26, 2018

Adversarial Robustness in Machine Learning参考文献 42被引用数 10

ひとこと要約

本稿では、事前学習済みの検索エンジンと深層畳み込みニューラルネットワーク（CNN）を組み合わせることで、 adversarial 例に対する頑健性を向上させる、検索拡張型畳み込みニューラルネットワーク（RaCNN）を提案する。入力を検索された最近傍の特徴空間凸包に投影し、局所的な mixup を用いて局所線形性を強制することで、RaCNN は、CIFAR-10、SVHN、ImageNet において、vanilla CNN よりも優れた頑健性を達成する。特に、ブラックボックス攻撃に対して顕著な優位性を示す。

ABSTRACT

We propose a retrieval-augmented convolutional network and propose to train it with local mixup, a novel variant of the recently proposed mixup algorithm. The proposed hybrid architecture combining a convolutional network and an off-the-shelf retrieval engine was designed to mitigate the adverse effect of off-manifold adversarial examples, while the proposed local mixup addresses on-manifold ones by explicitly encouraging the classifier to locally behave linearly on the data manifold. Our evaluation of the proposed approach against five readily-available adversarial attacks on three datasets--CIFAR-10, SVHN and ImageNet--demonstrate the improved robustness compared to the vanilla convolutional network.

研究の動機と目的

• 既存の防御が同時に処理できない、オフ・マニフォールドおよびオン・マニフォールドの adversarial 例に対処する。
• 特にブラックボックス攻撃が一般的なクラウドベースのシステムにおいて、実世界の展開状況での分類器の頑健性を向上させる。
• 再トレーニングやアーキテクチャの大規模な見直しを必要とせず、市販の検索エンジンを活用して、データ多様体の局所的近似を実現する。
• データ多様体上で局所線形性を強制する訓練戦略を開発し、オン・マニフォールドの adversarial 例に対処する。
• 検索セットのサイズと計算コストを制御することで、頑健性の向上と一般化性能のバランスを取る。

提案手法

• 入力 x と D′ 内の候補例との間の L2 距離を、事前学習済みの特徴抽出器 φ′ を用いて計算し、市販のエンジン F を介して効率的な検索を可能にする。
• 距離 k(x,x′) = ||φ′(x)−φ′(x′)||² を用いて、D′ から K 個の最近傍 F(x) を検索し、データ多様体の局所的近似として特徴空間凸包 C(F(x)) を形成する。
• 注意機構を用いた射影メカニズムを適用し、入力 x を凸包 C(F(x)) に射影する。これは、学習可能な重み βk を用いて正確な射影を近似する。
• 「局所 mixup」を導入する。これは、検索された凸包内でのみ補間を生成する mixup の変種であり、分類器 g が多様体上で局所線形になるよう促進する。
• クロスエントロピー損失に局所 mixup 正則化を組み合わせ、CNN (φ, g) と検索ベースの射影を同時に訓練する。
• 検索エンジン F を、学習中に注意に基づいた特徴整合を促進することで、頑健性向上に寄与する微分可能で目的志向のコンポonent として用いる。

実験結果

リサーチクエスチョン

• RQ1 検索拡張型アーキテクチャは、オフ・マニフォールドおよびオン・マニフォールドの adversarial 例を同時に改善できるか？
• RQ2 検索された最近傍の特徴空間凸包内で適用される局所 mixup は、データ多様体上で局所線形性と頑健性をどのように向上させるか？
• RQ3 検索エンジンの頑健性が、RaCNN の全体的な adversarial 頑健性にどの程度影響を与えるか？
• RQ4 RaCNN は、白ボックスおよびブラックボックス攻撃を含む多様な攻撃タイプ、およびスケールの異なるデータセットにおいて、どのように性能を発揮するか？
• RQ5 検出された近傍数といったハイパーパrameter を調整することで、頑健性とクリーン精度のトレードオフを制御できるか？

主な発見

• RaCNN は、CIFAR-10、SVHN、ImageNet において、FGSM、iFGSM、DeepFool、L-BFGS、Boundary の5つの攻撃すべてで、vanilla な畳み込みネットワークを上回る頑健性を示した。
• 特に、ブラックボックスで意思決定ベースの Boundary 攻撃に対して高い耐性を示し、クラウドベースの展開に大きな可能性を示唆した。
• L-BFGS 攻撃では頑健性の低下が観察された。これは、強力な白ボックス最適化手法が、防御にもかかわらず依然としてモデルの脆弱性を突けることを示している。
• 高ノイズの adversarial パーティクルに対してでさえ、検索エンジンは結果の意味的整合性を維持した（例：魚の画像が依然として魚として検索された）。これは、入力の摂動に対しても頑健であることを示している。
• RaCNN の性能は、特徴抽出器 φ′ の選択に敏感である。raw ピクセル（φ′(x)=x）を用いることで頑健性は向上するが、クリーン精度が低下する可能性がある。
• 検出された近傍数を調整することで、頑健性とクリーン精度のトレードオフを制御でき、実装時の柔軟なトレードオフを可能にする。