Semantic-Preserving Adversarial Text Attacks

要約

ディープニューラルネットワーク（DNN）は敵対的な画像に弱いことが知られているが、テキスト分類におけるその頑健性はほとんど研究されていない。文字レベル攻撃、単語レベル攻撃、文レベル攻撃など、いくつかの系統のテキスト攻撃法が文献で提案されている。しかし、誤分類を誘発するのに必要な単語の変更数を最小化し、同時に語彙の正しさ、構文の健全性、意味の類似性を確保することは、依然として課題である。本論文では、ディープモデルの脆弱性を調べるために、Bigram and Unigram based adaptive Semantic Preservation Optimization (BU-SPO) という手法を提案する。本手法には4つの大きなメリットがある。第一に、ユニグラムの単語レベルだけでなく、ビッグラムレベルでもテキスト文書を攻撃することを提案し、より良い意味保持と無意味な出力の生成を回避している。第二に、入力単語を同義語候補と語義候補の両方から選んで置換するハイブリッド法を提案し、同義語だけを使う場合に比べて置換候補が大幅に増える。第三に、単語置換の優先順位を決定する最適化アルゴリズム、すなわち意味保存最適化（SPO）を設計し、修正コストの削減を目指す。最後に、SPOをさらに改良し、意味的類似度が最も高い敵対的な事例を見つけるためのセマンティックフィルター（SPOFと命名）を用いている。IMDB、AG’s News、Yahoo! Answersのテキストデータセットにおいて、4つの一般的なDNNsモデルを攻撃することにより、我々のBU-SPOとBU-SPOFの有効性を評価した。結果は、我々の方法が既存の方法と比較して、最小数の単語を変更することで、最高の攻撃成功率とセマンティック率を達成することを示す。

要約(オリジナル)

Deep neural networks (DNNs) are known to be vulnerable to adversarial images, while their robustness in text classification is rarely studied. Several lines of text attack methods have been proposed in the literature, including character-level, word-level, and sentence-level attacks. However, it is still a challenge to minimize the number of word changes necessary to induce misclassification, while simultaneously ensuring lexical correctness, syntactic soundness, and semantic similarity. In this paper, we propose a Bigram and Unigram based adaptive Semantic Preservation Optimization (BU-SPO) method to examine the vulnerability of deep models. Our method has four major merits. Firstly, we propose to attack text documents not only at the unigram word level but also at the bigram level which better keeps semantics and avoids producing meaningless outputs. Secondly, we propose a hybrid method to replace the input words with options among both their synonyms candidates and sememe candidates, which greatly enriches the potential substitutions compared to only using synonyms. Thirdly, we design an optimization algorithm, i.e., Semantic Preservation Optimization (SPO), to determine the priority of word replacements, aiming to reduce the modification cost. Finally, we further improve the SPO with a semantic Filter (named SPOF) to find the adversarial example with the highest semantic similarity. We evaluate the effectiveness of our BU-SPO and BU-SPOF on IMDB, AG’s News, and Yahoo! Answers text datasets by attacking four popular DNNs models. Results show that our methods achieve the highest attack success rates and semantics rates by changing the smallest number of words compared with existing methods.

arxiv情報

提供元, 利用サービス

arxiv.jp, DeepL