On the Effect of Adversarial Training Against Invariance-based Adversarial Examples

要約

敵対的な例は、機械学習分類器をだますことになっている、慎重に作成された攻撃ポイントです。
ここ数年、敵対的機械学習の分野、特に人間には知覚できない摂動が画像に追加される摂動ベースの敵対的例の研究が広く研究されてきました。
敵対的トレーニングを使用して、そのような入力に対する堅牢性を実現できます。
別のタイプの敵対的な例は、不変ベースの敵対的な例です。この例では、モデルの予測されたクラスが変更されないように画像が意味的に変更されますが、人間によって決定されるクラスは変更されます。
このタイプの敵対的な例に対する堅牢性を確保する方法はまだ調査されていません。
この作業は、畳み込みニューラル ネットワーク (CNN) に対する不変性ベースの敵対的な例を使用した敵対的トレーニングの影響に対処します。
不変ベースおよび摂動ベースの敵対的例を使用した敵対的トレーニングが適用される場合、連続ではなく同時に実行する必要があることを示します。
この手順は、両方のタイプの敵対的な例に対して比較的高い堅牢性を実現できます。
さらに、以前の研究で不変ベースの敵対的な例を生成するために使用されたアルゴリズムがラベルを正しく決定しないことがわかったので、人間が決定したラベルを使用します。

要約(オリジナル)

Adversarial examples are carefully crafted attack points that are supposed to fool machine learning classifiers. In the last years, the field of adversarial machine learning, especially the study of perturbation-based adversarial examples, in which a perturbation that is not perceptible for humans is added to the images, has been studied extensively. Adversarial training can be used to achieve robustness against such inputs. Another type of adversarial examples are invariance-based adversarial examples, where the images are semantically modified such that the predicted class of the model does not change, but the class that is determined by humans does. How to ensure robustness against this type of adversarial examples has not been explored yet. This work addresses the impact of adversarial training with invariance-based adversarial examples on a convolutional neural network (CNN). We show that when adversarial training with invariance-based and perturbation-based adversarial examples is applied, it should be conducted simultaneously and not consecutively. This procedure can achieve relatively high robustness against both types of adversarial examples. Additionally, we find that the algorithm used for generating invariance-based adversarial examples in prior work does not correctly determine the labels and therefore we use human-determined labels.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google