[論文レビュー] Adversarial Attacks on Deep Learning Based Power Allocation in a Massive MIMO Network

B. R. Manoj, Meysam Sadeghi+1 more|arXiv (Cornell University)|Jan 28, 2021

Adversarial Robustness in Machine Learning参考文献 19被引用数 6

ひとこと要約

本稿は、巨大MIMOネットワークにおける深層学習ベースの電力割当に対する adversarial 攻撃を調査し、分類タスクから回帰タスクへと拡張された white-box および black-box 攻撃—FGSM、MI-FGSM、PGD—を適用する。最小限の入力摂動によって、white-box 環境下で PGD が最大 86% の非妥当な電力割当解を達成することを示した。また、転送性により、特に MR precoding の下で効果的な black-box 攻撃が可能であることがわかった。

ABSTRACT

Deep learning (DL) is becoming popular as a new tool for many applications in wireless communication systems. However, for many classification tasks (e.g., modulation classification) it has been shown that DL-based wireless systems are susceptible to adversarial examples; adversarial examples are well-crafted malicious inputs to the neural network (NN) with the objective to cause erroneous outputs. In this paper, we extend this to regression problems and show that adversarial attacks can break DL-based power allocation in the downlink of a massive multiple-input-multiple-output (maMIMO) network. Specifically, we extend the fast gradient sign method (FGSM), momentum iterative FGSM, and projected gradient descent adversarial attacks in the context of power allocation in a maMIMO system. We benchmark the performance of these attacks and show that with a small perturbation in the input of the NN, the white-box attacks can result in infeasible solutions up to 86%. Furthermore, we investigate the performance of black-box attacks. All the evaluations conducted in this work are based on an open dataset and NN models, which are publicly available.

研究の動機と目的

• 深層学習ベースの電力割当が巨大MIMOネットワークにおいて adversarial 攻撃に対して脆弱であるかどうかを調査すること。
• 分類問題から回帰問題へと拡張された勾配ベースの adversarial 攻撃手法—FGSM、MI-FGSM、PGD—を無線リソース割当問題に適用すること。
• 白箱攻撃と黒箱攻撃の両方の成功確率を評価し、異なる precoding 方式間での転送性に注目すること。
• 最大比合成（MR）およびマルチセル-MMSE（M-MMSE）precoding で学習された深層ニューラルネットワークモデルの耐性をベンチマークすること。
• 今後の研究検証のため、公開済みのデータセットおよびトレーニング済みモデルを用いて再現可能な結果を提供すること。

提案手法

• 入力のチャネル状態情報（CSI）に関する損失関数の勾配を計算することで、回帰タスクに適応した FGSM、MI-FGSM、PGD 攻撃を実装した。
• 複数セル巨大MIMOシステムにおける最適電力割当を予測するため、公開済みデータセットで学習された深層ニューラルネットワーク（DNN）モデルを用いた。
• 入力CSIに L-infinity 範囲（ε）で有界な摂動を適用し、人間が認識できないようにしつつ、モデルの誤予測を最大化した。
• 白箱攻撃では、ターゲットDNNのアーキテクチャおよびパラメータに完全にアクセス可能であり、電力制約に違反する非妥当な解の割合を測定した。
• 黒箱攻撃では、代替モデル（「Model 1」）を用いて adversarial な例を生成し、その重みにアクセスできない被害者モデル（「Model 2」）に転送した。
• 異なるε値および precoding 方式（MR および M-MMSE）における攻撃成功確率を比較し、転送性および耐性を分析した。

実験結果

リサーチクエスチョン

• RQ1 分類タスクとは異なり回帰タスクであるにもかかわらず、勾配ベースの adversarial 攻撃が巨大MIMOシステムにおける深層学習ベースの電力割当モデルを効果的にだますことができるか？
• RQ2 白箱環境下で、FGSM、MI-FGSM、PGD 攻撃の成功確率は、非妥当な電力割当解を生成する観点でどのように比較されるか？
• RQ3 黒箱環境下で、代替モデルから被害者モデルへの adversarial な例の転送性はどの程度高いか？
• RQ4 precoding 方式の選択（MR 対 M-MMSE）が、深層学習ベースの電力割当器に対する adversarial 攻撃に対する耐性に与える影響は何か？
• RQ5 摂動の大きさ（ε）が、白箱および黒箱の両環境下での adversarial 攻撃の成功確率に与える影響は何か？

主な発見

• PGD 攻撃は白箱攻撃で最も高い成功確率を示し、ε = 0.4 の条件下で予測電力割当の最大 86% が非妥当な解となった。
• 白箱攻撃において、PGD はすべてのε値で FGSM や MI-FGSM を常に上回り、ε = 0.4 時に 80% を超える成功確率を達成した。
• 黒箱攻撃では、MR precoding の下で adversarial な例の転送性が顕著に高く、ε = 0.4 の条件下で MI-FGSM を用いて最大 59% の成功確率を達成した。
• M-MMSE precoding の下では、転送性が低く、ランダム摂動では最高 14%、PGD では 13% の成功確率にとどまった。
• 驚くべきことに、一部の M-MMSE ケースでは、ランダム摂動が adversarial 攻撃よりも高い非妥当性率を示した。これは、モデルの不安定性を示唆している。
• より複雑な「Model 2」は、反復的攻撃（MI-FGSM、PGD）に対して FGSM よりも脆弱であった。これは、モデルの複雑さが常に耐性を意味するわけではないことを示している。