[논문 리뷰] A New Defense Against Adversarial Images: Turning a Weakness into a Strength

Tao Yu, Shengyuan Hu외 3명|arXiv (Cornell University)|2019. 10. 16.

Adversarial Robustness in Machine Learning인용 수 61

한 줄 요약

본 논문은 적대적 섭동을 탐지 가능한 신호로 재정의하고, 화이트박스 공격에서도 효과를 유지하는 두 기준 탐지기(가우시안 노이즈에 대한 강건성과 결정 경계에 대한 근접성)를 제안한다. 이 탐지기는 ImageNet에서 주목할 만한 탐지율을 달성한다.

ABSTRACT

Natural images are virtually surrounded by low-density misclassified regions that can be efficiently discovered by gradient-guided search --- enabling the generation of adversarial images. While many techniques for detecting these attacks have been proposed, they are easily bypassed when the adversary has full knowledge of the detection mechanism and adapts the attack strategy accordingly. In this paper, we adopt a novel perspective and regard the omnipresence of adversarial perturbations as a strength rather than a weakness. We postulate that if an image has been tampered with, these adversarial directions either become harder to find with gradient methods or have substantially higher density than for natural images. We develop a practical test for this signature characteristic to successfully detect adversarial attacks, achieving unprecedented accuracy under the white-box setting where the adversary is given full knowledge of our detection mechanism.

연구 동기 및 목표

• 자연 이미지의 이중 특성인 결정 경계에 대한 근접성과 무작위 노이즈에 대한 강건성을 강조한다.
• 방어 메커니즘에 대한 화이트박스 지식이 있어도 적대적 섭동을 탐지하는 실용적인 테스트를 개발한다.
• 제안된 탐지기를 대규모 데이터셋(ImageNet)과 표준 벤치마크(CIFAR-10)에서 평가한다.
• 재현성을 위한 코드를 공개하고 화이트박스 적대적 탐지의 기준선을 확립한다.

제안 방법

• 두 가지 탐지 기준을 정의한다: C1(무작위 가우시안 노이즈에 대한 강건성)와 C2(경사 단계에 의한 적대적 노이즈에 대한 민감도).
• L1, L2 항을 포함하는 혼합 목적 함수(L★)와 C2를 BPDA 하에서 타깃하기 위해 보조 항 L3, L4를 추가하여 C1과 C2를 명시적으로 우회하려고 하는 적대적 손실을 구성한다.
• 모든 기준을 만족하지 않는 입력을 거부하기 위한 임계치를 갖춘 탐지기에 대해 최적화하는 화이트박스 어터커를 사용한다.
• ImageNet(ResNet-101)와 CIFAR-10(VGG-19)에서 L-infinity 제약 하에 PGD/CW 공격으로 평가한다.
• Feature Squeezing 및 Artifacts와 같은 기본 탐지기와 비교하고 어블레이션 및 그레이박스 분석을 수행한다.

실험 결과

연구 질문

• RQ1 화이트박스 설정에서도 자연 이미지 주위의 적대적 섭동의 고유 분포를 이용해 정상 입력과 적대적 입력을 신뢰성 있게 구분할 수 있는 탐지기가 있는가?
• RQ2 무작위 노이즈에 대한 강건성 및 결정 경계에 대한 근접성이라는 두 가지 직교적 기준이 공격자들을 충분히 제약해 성공적인 적대적 탐지 회피를 줄일 수 있는가?
• RQ3 강력한 화이트박스 공격하에서 탐지기의 성능은 대규모 데이터셋(ImageNet)과 소규모 데이터셋(CIFAR-10)에서 어떠한가?
• RQ4 실제 시스템에 이러한 탐지기를 배치할 때의 실용적 비용(런타임)과 한계는 무엇인가?

주요 결과

• 탐지기는 강력한 화이트박스 L-무한대 공격에서 이미지넷에서 허용 오탐률 20%에 대해 최악의 경우 탐지율이 최대 49%에 이른다.
• 기준 C1만으로는 화이트박스 공격에 대해 불충분하지만 C2(C2t/C2u)와 결합하면 많은 설정에서 실제 이미지와 적대적 이미지를 신뢰성 있게 구분한다.
• On ImageNet, combined criteria outperform baselines (Feature Squeezing and Artifacts) across multiple attack configurations; gray-box attacks remain challenging but detectable at nontrivial rates.
• CIFAR-10 results are weaker than ImageNet due to dataset properties and model robustness, but still show improvements over baselines.
• The detector incurs notable computation time, dominated by C2 evaluations which require iterative gradient-based attacks, highlighting a trade-off between security and efficiency.