Adversarial privacy protection methods
Creators: name: Ζαμίχος, Αλέξανδρος Κωνσταντίνου
Publisher: name: Aristotle University of Thessaloniki
Year: 2022
Subjects: Αντιπαραθετικές μέθοδοι
Προστασίας ιδιωτικότητας
Αντιπαραθετικές επιθέσεις
Adversarial
Privacy protection
Adversarial attack

description: Τα τελευταία χρόνια, πληθώρα μοντέλων Βαθιάς Μάθησης έχουν προταθεί στη βιβλιογραφία για την επίλυση των προβλημάτων της ταξινόμησης εικόνων και ανίχνευσης αντικειμένων σε εικόνες, επιτυγχάνοντας μάλιστα αποτελέσματα υψηλής ακρίβειας σε διαφορετικά σύνολα δεδομένων. Ωστόσο, η απόδοσή τους μπορεί να επηρεαστεί σημαντικά από τις αντιπαραθετικές επιθέσεις. Ο σκοπός των αντιπαραθετικών επιθέσεων είναι η επίδραση τους στις αρχικές εικόνες εισόδου με τρόπο ώστε ενώ οι εικόνες που προκύπτουν να είναι σχεδόν πανομοιότυπες με τις αρχικές ως προς το ανθρώπινο μάτι, να παραπλανούν τα αποτελέσματα των αντίστοιχων ταξινομητών. Αυτές οι μέθοδοι μπορούν να διακριθούν σε επιθέσεις βασισμένες στην εικόνα εισόδου και στις καθολικές επιθέσεις. Η πλειοψηφία αυτών των μεθόδων χρησιμοποιούν προσθετικό θόρυβο στην εικόνα εισόδου. Στη τρέχουσα διπλωματική διατριβή, αντιμετωπίζουμε το πρόβλημα της δημιουργίας καθολικών αντιπαραθετικών επιθέσεων, ως μία εκτίμηση μετασχηματισμών, εξετάζοντας την απλούστερη περίπτωση όπου ο μετασχηματισμός είναι γραμμικός. Ως εκ τούτου, μπορούμε να ενοποιήσουμε δύο μορφές εισαγόμενης διαταραχής (πολλαπλασιαστική και προσθετική) και υποστηρίζουμε ότι το πολλαπλασιαστικό μέρος του μετασχηματισμού μπορεί να είναι επίσης αποτελεσματικό, οδηγώντας σε λιγότερο θορυβώδη αντιπαραθετικά παραδείγματα. Οι δημιουργούμενες αντιπαραθετικές επιθέσεις είναι αναστρέψιμες αλλά δεν είναι εύκολα ανακτήσιμες. Πειραματικά αποτελέσματα παρουσιάζονται για την αξιολόγηση της προτεινόμενης επίθεσης σε σύγκριση με δύο υπάρχουσες μεθόδους της βιβλιογραφίας. Η αξιολόγηση και η σύγκριση των μεθόδων λαμβάνει υπόψη τόσο την ακρίβεια ταξινόμησης πριν και μετά την εφαρμογή των μαθησιακών επιθέσεων, καθώς και τις μετρήσεις ποιότητας του Μέσου Τετράγωνου Σφάλματος και του Δείκτη Δομικής Ομοιότητας. Τα πειράματα διεξάγονται και παρουσιάζονται σε πέντε σύνολα δεδομένων (MNIST, Fashion-MNIST, CIFAR-10, CIFAR-100, STL-10) που χρησιμοποιούνται συνήθως, για την αξιολόγηση μεθόδων, στον τομέα της όρασης υπολογιστών. Τα αποτελέσματα καταδεικνύουν ότι η προτεινόμενη μέθοδος μπορεί να οδηγήσει σε παρόμοια ή και καλύτερα αποτελέσματα από τις μεθόδους της βιβλιογραφίας, ενώ λόγω της πολλαπλασιαστικής φύσης της είναι δύσκολο να ανακτηθεί. Επιπλέον, παρουσιάζονται πειράματα σχετικά με τον αριθμό των ζευγών από αρχικές και επιτιθέμενες εικόνες που απαιτούνται για την ανάκτηση της αντιπαραθετικής επίθεσης. Η προτεινόμενη μέθοδος μπορεί να βρει εφαρμογή τόσο για την αξιολόγηση της ευρωστίας των μοντέλων βαθιάς μάθησης, όσο και για τη διατήρηση της ιδιωτικότητας ατόμων από συστήματα αναγνώρισης προσώπων.
description: In recent years many Deep Learning models have been proposed in the literature for image classification and object detection tasks, which achieve high accuracy results in different datasets. However, their performance can be significantly affected by adversarial attacks. The scope of adversarial attacks is to perturb images in a way that they are almost identical to the human eye while being misled by the respective classifiers. Those methods can be distinguished in image-specific and universal attacks. Most of those attacks use additive noise on the input image. In this thesis, we address the problem of universal adversarial attack generation, in deep neural network classification, as a transformation estimation one. We examine the simplest case where the transformation is linear. As such, we can unify two forms of introduced perturbation (multiplicative and additive) and we are arguing that the multiplicative part of the transformation can be also effective, leading in less noisy adversarial examples. The generated adversarial perturbations are revertible but not easily attainable. Experimental results are presented for the proposed attack along with a comparison with two existing methods of literature. The evaluation and the comparison of the methods consider both the classification accuracy before and after the application of the learned attacks, along with the quality metrics of Mean Square Error (MSE) and the Structural Similarity Index Measure (SSIM). Experiments are conducted and presented in five datasets (i.e. MNIST, Fashion-MNIST, CIFAR-10, CIFAR-100, STL-10) that are commonly used, for methods evaluation, in the field of computer vision. The results demonstrate that the proposed method can lead to similar or even better results than the methods of literature, while due to their multiplicative nature it is difficult to be attained. Moreover, experiments are presented regarding the number of pairs of input and perturbed images that are needed for obtaining the adversarial attack. The proposed method can find application both for evaluating the robustness of deep learning models, as well as for preserving human privacy in face recognition systems.