技術概要：敵対的画像摂動に対するミメティック検出器

問題定義

敵対的攻撃は、清浄な画像 ($x$) に微小でほぼ知覚不可能なノイズパターン ($\delta$) を付加することで深層画像分類器を侵害し、人間には視覚的に同一に見えるまま誤分類を引き起こす。Fast Gradient Sign Method (FGSM)、Projected Gradient Descent (PGD)、および Carlini–Wagner の $\ell_\infty$ 変種などの標準的な $\ell_\infty$ 有界攻撃は、画素レベルで高周波かつほぼランダムな符号パターンを特徴とする摂動を生成する。これらの摂動は $\ell_2$ ノルムでは小さいが、不釣り合いに大きな勾配エネルギーを有している。

ここで扱われる主要な課題は、堅牢性ではなく検出である。そのような摂動に対して分類器を堅牢化することは困難であるが、ここでは入力 $x'$ が摂動を受けたかどうかを判定することを目的とする。SpectralDefense などの既存のアプローチは、しばしばフーリエ領域の特徴を用いて分類器を訓練することに依存している。本研究は、サロゲート分類器も攻撃対象のネットワークへのアクセスも必要としないトレーニングフリーの代替案を提案する。

手法

提案する検出器は、自然画像と敵対的摂動との間の勾配エネルギー分布の根本的な相違を利用する。自然画像はエッジに勾配エネルギーを集中させ、それ以外の滑らかな領域ではエネルギーが低くなるのに対し、敵対的摂動は画像全体にわたって空間周波数最高域で均等に勾配エネルギーを分配する。

ミメティック勾配エネルギー比

本手法の核心は、ミメティック勾配エネルギーと単純な画素ノルムの比として定義される単一のスカラー指標 $T(x)$ である：

$$T(x) = \frac{(G u)^\top P (G u)}{\sum_{i,j} x_{ij}^2}$$

ここで：

• $u$: 各側に 1 個のゴーストセルでパディング（複製境界）され、ベクトル化された入力画像 $x$。
• $G$: 次数 $k$ の Corbino–Castillo ミメティック勾配演算子。
• $P$: $G$ に関連する対角正定値重み行列。
• 分子: 離散勾配エネルギー（勾配値の二乗の重み付き和）を表す。
• 分母: 画素値の二乗のユークリッド和を表す。

実装詳細

• 演算子: 本手法は、オープンソースのMOLE ライブラリから提供される高次 Corbino–Castillo ミメティック演算子を利用する。これらの演算子は、高次の精度、自由パラメータの不在、および境界における一貫した精度（矩形フレームによる人工的なトリガーを防止）のために選択される。
• 計算: 計算は画像あたり $O(HW)$ の時間で行われ、単一の疎行列 - ベクトル積が支配的である。
• 決定則: 閾値 $\tau$ は、所望の偽陽性率に基づいてホールドアウトされた清浄データセットで較正される。$T(x) > \tau$ の場合、画像は敵対的としてフラグ付けされ、そうでない場合は清浄とみなされる。
• 特性: 指標 $T$ は無次元であり、スケール不変である（$\alpha \neq 0$ に対して $T(\alpha x) = T(x)$）。

実験結果

検出器は、$\ell_\infty$ 予算 $\epsilon = 16/255$ で、標準的な 128 $\times$ 128 グレースケール「peppers」画像（MATLAB/Octave ツールボックスから）上で検証された。

テストケース

3 つの入力が構築された：

1. 清浄: 摂動なし。
2. 敵対的様式: $\delta_{adv} = \epsilon \text{sign}(\eta)$、ここで $\eta_{ij} \sim \mathcal{N}(0, 1)$ であり、FGSM/PGD の空間的署名を模倣する。
3. 滑らかな制御: 等しい $\ell_\infty$ 振幅を持つが低周波成分（正弦波）を有する $\delta_{low}$。

主要な知見

• 分離: 敵対的摂動は、テストされたすべての次数（$k=2, 4, 6$）において、清浄画像に対する指標 $T$ を 3 倍以上増加させた。
• 特異性: 滑らかな制御摂動は $T$ を変化させなかった（1% 以内）ため、検出器は単なる振幅変化ではなく高周波ノイズに反応することが示された。
• 次数依存性: 検出マージン（比 $T_{adv}/T_{clean}$）はミメティック次数 $k$ とともに単調に増加した：
  • $k=2$: 3.55 倍の分離。
  • $k=4$: 3.94 倍の分離。
  • $k=6$: 4.19 倍の分離。
• 視覚的証拠: ミメティック勾配の大きさ $|Gx|$ の可視化は、敵対的ケースにおいて清浄画像には存在しない、ほぼ均一な高周波プリントを明らかにした。

意義と主張

本論文は、この作業を 3 つの明確な利点を備えた実用的で展開可能なシングルショット検出器として位置づけている：

1. ゼロトレーニングオーバーヘッド: 敵対的例のトレーニングセット、サロゲート分類器、およびターゲットネットワークの内部重みへのアクセスを一切必要としない。
2. 計算効率: 画像サイズに対して線形時間 ($O(HW)$) で動作し、リアルタイムアプリケーションに適している。
3. スケーラブルな識別能力: 検出能力はミメティック演算子の次数とともに単調に向上し、これは MOLE 構築に固有の特性である。

限界と範囲

著者は明示的に、これは検出器であり、証明された防御ではないと述べている。誤分類を維持しつつ $T$ を明示的に最小化する適応型攻撃者は、統計値を清浄値に近づける可能性があるが、その代償として攻撃成功率の低下またはより大きな $\ell_\infty$ 予算が必要となるだろう。

本論文は、将来の研究のための 2 つの自然な拡張を提案している：

• 色および多スペクトル画像への適用（学習された線形結合によって結合されたチャネルごとの $T$ 経由）。
• ミメティック構造が特に強力である非一様または曲線状のセンサー幾何学への適応。