Perceptual quality preserving adversarial attacks

Abstract

Derin öğrenmenin, imge sınıflandırma gibi bilgisayarlı görü görevlerinde birçok başarılı uygulaması bulunmaktadır. Derin öğrenme ağları imge sınıflandırma problemlerinde insan başarımının üstünde başarım elde etmektedir. Her ne kadar sonuçlar derin sinir ağlarının imge sınıflandırma görevini çözmüş olduğunu ve pek çok uygulamada kullanılmasını sağladığını gösterse de son zamanlarda derin sinir ağlarının bazı özelliklerinin performanslarının düşmesine sebep olabileceğini göstermiştir. Girdi imgeye rastgel olmayan gürültü eklenmesiyle elde edilen çekişmeli imge/örnek adıda verilen imgelerin en başarılı ağlar tarafından bile yanlış sınıflandırmasına neden olduğu gösterilmiştir. Bu CAPTCHA gibi uygulamalarda sıkça kullanılmaktadır. Ancak çekişmeli süreçte elde edilen örnekler renkli gürültüler nedeniyle algısal kalite olarak düşük olabilmekte ve insanlar tarafından tanınmada sorunlar olabilmektedir. Bu tez çekişmeli örneklerin algısal kalitesini iyileştiren bir metot önermektedir. Önerilen metot literatürdeki saldırı tiplerinden bağımsız iyileştirme sağlamaktadır. Yapılan deneyler göstermektedir ki üretilen çekişmeli örneklerin Öklid uzaklığı azaltılabilmekteyken aynı zamanda çekişmeli örneğin başarımı korunabilmektedir. L2 mesafesi %0.0315 ile %29.6 arasında ortalama olarak da %17.8 oranında azaltmaktadır.

Deep learning is used in various succesful computer vision applications such as image classification. Deep neural networks (DNN) especially convolutional neural networks have reached above human level accuracy rates for image classification tasks. While DNNs have solved the image classification task and enabled its use in many practical applications, recent research has unveiled some properties which could degrade their performance. Adversarial images are samples that are intentionally modified by adding non-random noise to deceive deep learning systems. Even the-state-of-the-art networks fail classifying these adversarial images to the corresponding class. They are widely used in applications such as CAPTHAs to help distinguish legitimate human users from bots. However, the noise introduced during the adversarial image generation process degrades the perceptual quality and introduces artificial colors; making it also difficult for humans to classify images and recognize objects. This thesis proposes a method that enables generation of adversarial images while preserving their perceptual quality. The proposed method is attack type agnostic and could be used in association with the existing attacks in the literature. Experiments show that the generated adversarial images have lower Euclidean distances to their originals while maintaining the same adversarial attack performance. Distances are reduced by 0.0315% to 29.6% with an average reduction of 17.8% over the different attack and network types.