敵対的事例に対する日本語処理モデルの頑健性向上の試み

近年，DNNモデルは，自然言語処理分野においてカテゴリ分類や要約，機械翻訳，迷惑メールフィルタ，有害コメントの識別など様々なタスクで活用されている．一方で，画像処理分野において，SzegedyらはAEと呼ばれる特殊に設計された入力によって，DNNモデルが誤認識を引き起こす脆弱性の存在を明らかにした[1]．AEは，人間が知覚できないほど微小な摂動をDNNモデルが誤認識するよう設計し，入力に付与することで生成される．このような脆弱性は，実社会でDNNモデルを活用する際のリスクになり得る．例えば，自動車に搭載された道路標識識別モデルが，”止まれ”と書かれた標識を別の標識に誤認識した場合，自動車が止まらず事故につながる可能性が考えられる．自然言語処理用のDNNモデルにおいても同様の脆弱性が確認されている．Liangらは，入力テキスト内の任意の文字を挿入，変更，削除する3種の摂動によりAEを生成し，DNNベースのテキスト分類器が誤認識を引き起こすことを示した[2]．このようにAEを生成する手法を敵対的攻撃と呼び，DNNモデルの脆弱性解明を目的として研究されている．DNNの持つ脆弱性は，DNNを実世界の課題に応敵対的事例この商品は割と悪い︕敵対的攻撃再攻撃（矯正）通常事例この商品は割とわるい︕この商品はとても悪い︕決定境界非敵対的領域（negativeと認識される)敵対的領域(positiveと認識される)用する上で重大な障害となり得る．このため，DNNモデルのAEに対する頑健性向上を目的とした敵対的防御手法の研究も広く行われている．一般に，自然言語DNNを対象とした敵対的攻撃や防御に関する研究は，特定の言語に特化しない汎用的な摂動の付与方法を検討している．これに対して河野らは，日本語に特化した敵対的攻撃手法を提案し，日本語処理モデルにおいて日本語の特性が活用される脆弱性が存在することを示した[3]．日本語処理用DNNを対象とした敵対的防御の研究は十分に行われておらず，日本語に特化した攻撃に対して従来の防御手法[4,5]の性能が未知であるほか，日本語の特性を活かした防御方法も，著者らが調べた限りこれまでに研究されていない．このため本研究では，AEに対する日本語処理モデルの頑健性向上を目的とし，日本語に特化した敵対的防御手法を提案する．AEに対して日本語特有の表記体系である字種を変換する再攻撃を行うことで，AEの分類ラベルの矯正を試みる．実験では，3つの攻撃手法により生成したAEと通常事例を対象として，再攻撃を行い，通常事例の分類結果を維持しつつ，AEのラベルのみを矯正できることを示す．