白箱型敵対的攻撃が畳み込みニューラルネットワークに与える影響

（Impact of White-Box Adversarial Attacks on Convolutional Neural Networks）

田中専務

拓海先生、最近社内で「敵対的攻撃」という言葉が出てきて、現場が少し混乱しています。要するに導入したAIがちょっとした悪意で簡単に騙されてしまうという理解で合っていますか。

AIメンター拓海

素晴らしい着眼点ですね！その理解は概ね正しいです。敵対的攻撃（adversarial attack）とは、モデルの入力に人間にはほとんど分からないような小さなノイズを加えて、モデルの判断を大きく誤らせる手法ですよ。

田中専務

うちのカメラで検品しているAIが突然誤認識を繰り返したら、たいへんなことになります。論文ではどの範囲の攻撃を調べているのですか。

AIメンター拓海

この研究は白箱型（white-box）攻撃、すなわち攻撃者がモデルの構造や重み、訓練データを知っている前提での攻撃を複数種類、体系的に検証しています。代表的手法としてはFGSM、BIM、JSMA、C&W、PGD、DeepFoolなどを比較していますよ。

田中専務

専門用語が多いですね。これらは現場でどう違いが出るのでしょうか。特に費用対効果の観点で知りたいのですが。

AIメンター拓海

大丈夫、一緒に整理できますよ。要点を3つにまとめると、1）攻撃手法ごとにモデルの誤認率や損失値の悪化度合いが違う、2）データセットやモデル構造で脆弱性の出方が変わる、3）防御はコストと効果のトレードオフになります、ということです。

田中専務

これって要するに、全部同じ攻撃ではなくて、攻撃の手口によって対処法も変わるということですか。

AIメンター拓海

その通りですよ。言い換えれば、防御も一律ではなく、どの攻撃を想定してどう整備するかが肝心です。現場の運用や想定される脅威モデルを先に決めることが投資対効果を高める最短ルートです。

田中専務

実務的にはどう動いたら良いですか。まずは社内で何を測れば、投資判断ができますか。

AIメンター拓海

まずは現在使っているモデルについて、通常時の精度（accuracy）と、代表的な白箱攻撃を適用した際の精度低下量を測ることです。それがリスクの大小を示す定量的根拠になりますよ。

田中専務

検査の現場で測るのは現実的ですね。最後に、社内で説明するときのポイントを教えてください。

AIメンター拓海

良いまとめ方は3点です。1）現状のモデルの精度と攻撃時の精度低下、2）想定される被害の大きさ（誤分類が引き起こすコスト）、3）シンプルな防御策の候補と概算費用。これを示せば経営判断がしやすくなりますよ。

田中専務

分かりました。要は、まず現状を数字で示して、リスクに応じた防御投資を検討するということですね。自分の言葉で言うと、モデルの耐性を”見える化”してから投資する、ということです。