ImageNetは当初、コンピュータービジョンの領域でのパフォーマンスベンチマークのデータセットとして提案されましたが、他のさまざまな研究活動も可能にしました。敵対的な機械学習は、そのような研究努力の1つであり、誤った予測を行う際にモデルをだますために欺瞞的な入力を使用します。敵対的な機械学習の分野で攻撃と防御を評価するために、ImageNetは依然として最も頻繁に使用されるデータセットの1つです。ただし、まだ調査されていないトピックは、敵対的な例が誤って分類されているクラスの性質です。このホワイトペーパーでは、ImageNetクラス階層を活用し、敵対的な例の乱されていない起源における前述のタイプのクラスの相対位置を測定して、これらの誤分類クラスの詳細な分析を実行します。モデル間の敵対的転送可能性を実現する敵対的例の71%が、基になるソース画像に対して予測された上位5つのクラスの1つに誤って分類されていることがわかります。また、ターゲットを絞らない誤分類の大部分は、実際には、意味的に類似したクラスへの誤分類であることがわかります。これらの調査結果に基づいて、ターゲットを絞らない敵対的な成功を評価する際に、ImageNetクラス階層を考慮する必要性について説明します。さらに、カテゴリー情報を組み込むための将来の研究努力を提唱します。
Although ImageNet was initially proposed as a dataset for performance benchmarking in the domain of computer vision, it also enabled a variety of other research efforts. Adversarial machine learning is one such research effort, employing deceptive inputs to fool models in making wrong predictions. To evaluate attacks and defenses in the field of adversarial machine learning, ImageNet remains one of the most frequently used datasets. However, a topic that is yet to be investigated is the nature of the classes into which adversarial examples are misclassified. In this paper, we perform a detailed analysis of these misclassification classes, leveraging the ImageNet class hierarchy and measuring the relative positions of the aforementioned type of classes in the unperturbed origins of the adversarial examples. We find that 71% of the adversarial examples that achieve model-to-model adversarial transferability are misclassified into one of the top-5 classes predicted for the underlying source images. We also find that a large subset of untargeted misclassifications are, in fact, misclassifications into semantically similar classes. Based on these findings, we discuss the need to take into account the ImageNet class hierarchy when evaluating untargeted adversarial successes. Furthermore, we advocate for future research efforts to incorporate categorical information.