訓練前段階では、訓練データとモデルアーキテクチャの両方を制御できる。この段階の防御は、(A) ロバストなモデルアーキテクチャの設計と (B) 訓練データの前処理によるバックドア防御の2つに大別される。
ロバストなモデルアーキテクチャ¶
モデルのアーキテクチャ自体がロバスト性に大きく影響することが知られている。
モデル容量の影響¶
Madryらは、敵対的サンプルに対するロバスト性を得るには通常のモデルより大きな容量が必要であることを示した。VC次元の観点からも、モデルの幅と深さの増加がロバスト性を向上させることが実証されている。
モデル構造の影響¶
| 手法 | アプローチ | 効果 |
|---|---|---|
| MBN | バッチ正規化の平均・分散の調整 | ロバスト性に顕著な影響 |
| SAT | 平滑な活性化関数の使用 | 敵対的効果の削減 |
| SGM | ResNetのスキップ接続の活用 | ロバスト性の向上 |
| RobustMQ | モデルの量子化 | 量子化モデルがより高いロバスト性を示す |
| FPCM | 高周波情報を削減するモジュールの設計 | 敵対的サンプルが高周波に依存する性質を利用 |
Vision Transformer vs CNN¶
Vision Transformer（ViT）はCNNよりも優れた敵対的ロバスト性を示すが、パッチ単位の摂動にはより脆弱である。重みの疎性がTransformerのロバスト性を改善することも示されている。
Neural Architecture Search（NAS）によるロバスト性の向上¶
NASを活用してロバストなアーキテクチャを自動探索するアプローチが提案されている。
直接的にロバスト性を利用する手法¶
| 手法 | アプローチ |
|---|---|
| E2RNAS | 敵対的ロバスト性を探索プロセスに直接組み込む |
| RNAS | 正則化項で精度とロバスト性のバランスを取る |
| G-RNA | グラフニューラルネットワーク向けにロバスト構造を発見 |
間接的にロバスト特性を利用する手法¶
| 手法 | アプローチ |
|---|---|
| AdvRush | 損失の平滑性に基づいてロバスト構造を特定 |
| RACL | リプシッツ定数を推定して最適構成を発見 |
| Dsrna | 下界証明とヤコビノルム境界に基づく微分可能メトリクスを定式化 |
効率性の向上¶
| 手法 | アプローチ |
|---|---|
| ABanditNAS | 上限・下限推定による探索空間の効率化 |
| Wsr-NAS | 軽量敵対ノイズ推定器で計算負荷を削減 |
| CRoZe | 敵対学習と標準学習を並列実行し情報交換で探索を加速 |
訓練データの前処理によるバックドア防御¶
訓練データに毒入れされたサンプルが含まれる場合に、訓練前にそれらを検出・除去するアプローチ。
活性化の異常検出（Activation Anomaly Detection）¶
DNN内部の活性化パターンの違いを利用して毒入れサンプルを検出する。
| 手法 | アプローチ |
|---|---|
| AC（Activation Clustering） | 活性化を1Dベクトルに変換し、ICAで次元削減後にk-means（k=2）でクラスタリング。シルエットスコアでクリーン/毒入れを分離 |
| Spectral Signature | SVDで各クラスの中心化活性化行列の上位右特異ベクトルを取得し、外れ値スコアで疑わしいサンプルを除去 |
| SPECTRE | k-IDENTIFIERアルゴリズムで左特異ベクトルを発見し、QUE（量子エントロピー）スコアでフィルタリング |
| SCAn | 2成分分解を活用し、クリーンサンプルの共分散行列を推定。尤度比テストとEMアルゴリズムで検出 |
| Beatrix | グラム行列と高階形式を使用して活性化の相違を検出 |
モデル変動に対する予測安定性の利用¶
モデルの学習過程でバックドアが通常の特徴より早く学習される性質を利用する。
| 手法 | アプローチ |
|---|---|
| ABL（Anti-Backdoor Learning） | 早期の訓練エポックで損失が低いサンプルを毒入れとしてフィルタリング（トリガーは早期に学習されるため） |
| CT（Confusion Training） | ランダムに誤ラベル付けしたクリーンサンプルで再訓練し、毒入れサンプルのみが正確に予測されることを利用 |
| 差分プライバシー防御 | 再訓練時にノイズ摂動を導入し、クリーンモデルと同様の振る舞いを復元 |
| ASSET | 多様な深層学習パラダイムで訓練損失を用いた2ステップ最適化 |
参考文献¶
Wu et al. (2023). Defenses in Adversarial Machine Learning: A Survey. Section III.
Madry et al. (2018). Towards Deep Learning Models Resistant to Adversarial Attacks.
Chen et al. (2019). Detecting Backdoor Attacks on Deep Neural Networks by Activation Clustering.
Tran et al. (2018). Spectral Signatures in Backdoor Attacks.