技術要約：隠密型マルチタスク敵対的攻撃 (SMTA2)

問題定義

ディープニューラルネットワーク（DNN）は、効率性と汎化性能を向上させる共有表現を利用するマルチタスク学習（MTL）フレームワークにおいて、ますます広く導入されています。しかし、これらの共有表現は結合された脆弱性を導入します。すなわち、あるタスクのために作成された敵対的摂動は他のタスクにも伝播し、無差別な性能低下を引き起こす可能性があります。従来の敵対的攻撃は、単一タスクのモデル、あるいはMTLにおける全タスクを共同で劣化させることに焦点を当てていましたが、現実世界の安全性が重要なシナリオ（自動運転など）では、より選択的な戦略が求められることが多くあります。

対処すべき核心的な問題は、特定のターゲットタスクを選択的に劣化させる一方で、非ターゲットタスクの性能を厳格に維持する能力を持つフレームワークが欠如していることです。既存の手法は、MTLモデルにおいて一つのタスクの損失を増大させると、必然的に他のタスクを損なう勾配が伝播してしまうため、この問題への対処に苦慮しています。副作用なしに選択的な劣化を実現することは、非常に制約の強い非自明な最適化問題です。なぜなら、単純な損失の再重み付けでは、強力な摂動下で非ターゲットの性能を維持できないことが多いからです。

手法

著者らは、この選択的劣化問題を解決するために設計されたフレームワークであるStealthy Multi-task Adversarial Attack (SMTA2) を提案します。

1. 問題定式化

SMTA2は、この攻撃を制約付き多目的最適化問題として定式化します。マルチタスクモデルをタスク $y = (y_1, ..., y_m)$ とし、ターゲットタスクを $i_t$ とすると、目標はターゲットタスクの損失 $L_{i_t}$ を最大化することであり、同時にすべての非ターゲットタスク $L_i$ （$i \neq i_t$）の損失が元のクリーンな性能を超えないようにすることです。

最適化は以下のように定義されます：
$$\max_{\delta} L_{i_t}(x + \delta, y_{i_t})$$
$$\text{subject to } L_i(x + \delta, y_i) \leq L_i(x, y_i) \quad \forall i \neq i_t$$
$$\|\delta\|_p \leq \epsilon$$

2. 最適化戦略

タスク間の勾配干渉のため、制約付き問題を直接解くことは困難です。SMTA2は、これを重み付き目的関数へと緩和します：
$$\max_{\delta} \sum_{i=1}^m w_i L_i(x + \delta, y_i)$$
ここで、$w_{i_t}$ は正（ターゲットを劣化させるため）であり、$w_i$ は非ターゲットタスク用で負（劣化を抑制し、性能維持を強制するため）となります。

最適な重み $\{w_i\}$ を見つけるために、本論文では2つの戦略を提案しています。

• 手動重み探索 (Manual Weight Searching): 重み（非ターゲットタスク用）がベースラインを下回った場合に、手動で重みを増やしていく反復的な試行錯誤のアプローチです。これは計算コストが高く、タスク数が増えるとスケーラビリティが低下します。
• 自動重み最適化 (Automated Weight Optimization - アルゴリズム1): 各攻撃イテレーション中にタスクの重みを動的に更新する動的な戦略です。
  • 各ステップにおいて、アルゴリズムは非ターゲットタスクに対する敵対的入力と元の入力の間の損失差を計算します。
  • もし非ターゲットタスクの損失が増加した場合、その対応する負の重みが、劣化を打ち消すように比例して調整されます。
  • タスク固有のステップサイズ $\lambda_i$ が使用され、タスクが保存制約を満たした後は係数 $\alpha$ によって減衰されます。これにより、収束が加速し、探索が安定します。
  • この手法は、イテレーションあたり $O(m)$ の操作しか追加しないため、漸近的にPGDのような標準的な攻撃と同等の複雑さとなります。

主な貢献

1. 新しい攻撃パラダイム: MTLにおける隠密かつ選択的なタスク特異的敵対的攻撃の問題を体系的に定式化し、解決する最初のフレームワークであるSMTA2を導入しました。これにより、他のタスクを厳格に維持しながら、ターゲットタスクの選択的な劣化が可能になります。
2. 制約付き最適化の定式化: 攻撃を、無差別な共同攻撃を超えた、明示的な保存制約を持つ制約付き多目的問題としてモデル化しました。
3. 自動重みチューニング: 最適なタスクの重みを動的に探索する自動損失重み最適化戦略を開発しました。これにより、手動チューニングの必要性を排除し、効率性とスカルラビリティを向上させました。
4. 包括的な評価: 様々な $L_p$ ノルム（$L_1, L_2, L_\infty$）および攻撃アルゴリズム（PGD, IFGSM, APGD）について、NYUv2およびCityscapesベンチマークを用いた広範な実験を実施しました。これには、防御されていないモデルおよび敵対的訓練（AT）済みモデルの両方の評価が含まれます。

実験結果

本論文では、2つのマルチタスクベンチマーク、NYUv2（セマンティック・セグメンテーション、深度推定、サーフェスノーマル）および Cityscapes（セマンティック・セグメンテーション、パート・セグメンテーション、ディスパリティ推定）を用いてSMTA2を評価しています。

• 選択的劣化: 結果は、SMTA2がターゲットタスクを大幅に劣化させる一方で（しばしば非隠密な攻撃と同等の効果を発揮）、非ターゲットタスクをベースラインの性能付近に維持できることを示しています。対照的に、非隠密な攻撃はグローバルな性能崩壊を引き起こします。
• 堅牢性: 本フレームワークは、敵対的訓練（AT）済みモデルに対しても有効であり、強力な防御設定下においても非ターゲットタスクを正常に維持することに成功しています。
• 自動化 vs 手動: 自動重み探索戦略は、手動チューニングに匹敵する性能を達成しつつ、大幅に高い効率性とスケーラビリティを実現しています。
• 視覚的証拠: 可視化により、摂動が知覚不能であり、明らかな視覚的アーティファクトを導入しない一方で、特定のタスクの失敗（例：交通標識を誤分類する一方で、車線検出は正確に維持するなど）を引き起こすことが確認されました。

重要性と主張

本論文は、隠密かつ選択的なマルチタスク敵対的攻撃のための最初の体系的なフレームワークを確立したと主張しています。その重要性は以下の点にあります：

• 決定的なギャップの解消: 無差別な失敗は検知されやすい一方で、選択的な失敗は巧妙で危険になり得る、安全性が重要なシステムにおける選択的攻撃の必要性に対処しています。
• 実用的な実現可能性: 強いタスク間の結合が存在する場合でも、原理に基づいた最適化と自動重みチューニングを通じて、厳格な保存制約を満たすことができることを実証しました。
• 新しい方向性の提示: 制御されたマルチタスクシステムにおける敵対的機械学習の新たな方向性を切り開き、モデルのアーキテクチャやタスクの関係を変更することなく、共有表現が微細で隠密な操作のために悪用され得ることを明らかにしました。

著者らは、SMTA2によって、隠密かつタスク選択的な攻撃が実行可能であり、かつ実用的に解決可能であることを証明し、マルチタスク学習システムの堅牢性に新たな課題を突きつけたと結論付けています。