Almost for Free: Crafting Adversarial Examples with Convolutional Image Filters

Technische Samenvatting: Bijna Gratis: Het Creëren van Adversarial Examples met Convolutionele Beeldfilters

Probleemstelling
Adversarial examples (AE's) in deep learning worden doorgaans gegenereerd met behulp van gradient-gebaseerde optimalisatie, waarbij ofwel directe toegang tot modelparameters (white-box) of uitgebreide query-gebaseerde benaderingen (black-box) vereist zijn. Deze methoden behelzen vaak complexe optimalisatielussen, hoge rekenkosten en, in het geval van benaderingen op basis van generatieve modellen, miljoenen parameters. De auteurs vragen zich af of dergelijke complexiteit noodzakelijk is, en stellen voor dat de kwetsbaarheid van neurale netwerken voor specifieke structurele perturbaties misschien kan worden uitgebuit via eenvoudigere mechanismen.

Methodologie
Het artikel stelt een nieuwe aanpak voor het creëren van niet-gericht adversarial examples voor met behulp van convolutionele beeldfilters. De methodologie is verdeeld in twee distincte strategieën:

1. Edge Filter Attack (Model-onafhankelijk):

   • Inspiratie: Geïnspireerd door uitlegbare machine learning (Adebayo et al., 2018; Ancona et al., 2018), stellen de auteurs een correlatie vast tussen salientiekaarten (die gradienten $\nabla_x f_\theta(x)$ benaderen) en klassieke randdetectie.
   • Mechanisme: De aanval past een standaard randdetectiefilter (specifiek een Sobel-filter) toe op een invoerbeeld $x$ om een randkaart $E(x)$ te genereren. De perturbatie $\delta$ wordt gecreëerd door deze randkaart te schalen: $\delta = \rho(E(x)) = \pm \mu E(x)$.
   • Operatie: Dit vereist slechts één convolutiepass. De auteurs testen empirisch het aftrekken van randinformatie ($\mu < 0$), wat randen donkerder maakt, en constateren dat dit iets effectiever is dan het toevoegen ervan.

2. Adversarial Filter Attack (Model-afhankelijk):

   • Mechanisme: In plaats van vaste kernen te gebruiken, optimaliseren de auteurs de gewichten van een klein convolutioneel filter $k$ om het verlies van het doelmodel te maximaliseren.
   • Optimalisatie: Het filter wordt getraind door het oplossen van:
     $$\arg\min_k -\sum_{x \in D} \ell(x + x * k, f_\theta(x), \theta) + \lambda \|k\|_2^2$$
     waarbij $D$ een kleine dataset is die representatief is voor de trainingsverdeling, $\ell$ de verliesfunctie is, en $\lambda$ de sterkte van de perturbatie regulariseert.
   • Efficiëntie: De filters zijn klein (bijvoorbeeld $3 \times 3$ of $5 \times 5$) en vereisen aanzienlijk minder parameters dan generatieve modellen. De aanval is "one-shot", waarbij de perturbatie wordt gegenereerd via één enkele convolutie nadat het filter is geoptimaliseerd.

Belangrijkste Bijdragen

• Eenvoud en Efficiëntie: De auteurs demonstreren dat adversarial examples kunnen worden gecreëerd zonder iteratieve gradient-updates of complexe generatieve architecturen. De voorgestelde filters reduceren het aantal parameters met vijf ordes van grootte in vergelijking met gerelateerde generatieve benaderingen (bijvoorbeeld Baluja & Fischer, 2018).
• Transferabiliteit: De geleerde adversarial filters vertonen een hoge transferabiliteit over verschillende modelarchitecturen (VGG-13, ResNet-50, Inception-V3), zelfs wanneer het filter voor één model is geoptimaliseerd en op een ander wordt toegepast.
• Structurele Inzichten: De geoptimaliseerde filters, hoewel uniek, delen structurele gelijkenissen met klassieke beeldverwerkingskernen (bijvoorbeeld Laplacian of Gaussian), wat suggereert dat specifieke combinaties van gladmaking en randversterking neurale netwerken effectief kunnen misleiden.

Experimentele Resultaten
De auteurs evalueerden hun aanpak op modellen getraind op ImageNet (VGG-13, ResNet-50, Inception-V3) met behulp van de ImageNet V2 dataset.

• Edge Filter Attack: Met een vast Sobel-filter bereikte de aanval successpercentages tussen 30% en 80%, afhankelijk van het model en de perturbatiemagnitude ($\mu$). Hoewel minder effectief dan adaptieve methoden, vereiste het geen modelkennis en slechts 27 parameters.
• Adversarial Filter Attack:
  • Met een $3 \times 3$ filter en 1.000 trainingsvoorbeelden bereikten de successpercentages 56% voor VGG, 46% voor ResNet en 48% voor Inception bij een PSNR van 20.
  • Het vergroten van de filtergrootte naar $5 \times 5$ en het trainingsbestand naar 3.000 voorbeelden verhoogde de successpercentages tot 94% (ResNet), 92% (VGG) en 68% (Inception).
  • Transferabiliteit: Filters die voor één model zijn geoptimaliseerd, behielden een hoge effectiviteit op andere. Een filter dat voor ResNet was geoptimaliseerd, bereikte bijvoorbeeld een relatief succespercentage van 93% op VGG en 82% op Inception (bij PSNR=20).
• Perturbatiekenmerken: In tegenstelling tot standaard adversarial ruis die het hele beeld bedekt, behouden deze perturbaties de structurele omtrek van het invoerbeeld maar introduceren ze kleurloze, gelokaliseerde ruis. Visuele inspectie toont aan dat hoewel sommige perturbaties onwaarneembaar zijn (PSNR > 30), die bij PSNR 20 zichtbare vervaging of donkerwording bij randen tonen.

Betekenis en Claims
Het artikel beweert dat de resultaten een ondergrens bieden voor de complexiteit die vereist is voor effectieve niet-gerichte aanvallen. De auteurs betogen dat:

1. Complexiteit niet altijd noodzakelijk is: Geavanceerde optimalisatiestrategieën zijn niet strikt vereist om hoge successpercentages te bereiken; eenvoudige, geoptimaliseerde convolutionele filters kunnen volstaan.
2. Fragiliteit van Neurale Netwerken: De hoge transferabiliteit en het succes van deze eenvoudige filters benadrukken een fundamentele kwetsbaarheid van neurale netwerken voor specifieke, kwaadaardige ruispatronen die randstructuren nabootsen of vervormen.
3. Efficiëntie: De drastische reductie in parameters en rekenkosten (één pass) biedt een nieuw perspectief op de afweging tussen aanvalcomplexiteit en effectiviteit.

De auteurs blijven bescheiden en erkennen dat hun eenvoudige filters niet kunnen concurreren met de absolute piekprestaties van state-of-the-art optimalisatiestrategieën, maar dienen als een kritieke benchmark voor het begrijpen van de minimale eisen voor succesvolle adversarial aanvallen. Zij suggereren dat toekomstig werk sequenties van convoluties kan verkennen om de kloof tussen eenvoudige filters en volledige netwerkarchitecturen te overbruggen.