[논문 리뷰] Adequacy of the Gradient-Descent Method for Classifier Evasion Attacks

Yi Han, Benjamin I. P. Rubinstein|arXiv (Cornell University)|2017. 04. 06.

Adversarial Robustness in Machine Learning참고 문헌 35인용 수 3

한 줄 요약

이 논문은 RBF-SVM에 대한 적대적 예측 생성을 위한 경사하강법의 성능을 평가하며, 저항력이 낮아지는 커널의 부드러움(낮은 γ)이 모델의 강건성에 상당한 영향을 미친다는 것을 입증한다. 또한 공격 성공률과 입력 변형 효율성을 높이는 데 성공한 새로운 경사-비율 방법을 제안하며, 공격 이전에 모델의 취약성을 평가할 수 있는 기하학적 마진 유사 예측 지표도 제안한다.

ABSTRACT

Despite the wide use of machine learning in adversarial settings including computer security, recent studies have demonstrated vulnerabilities to evasion attacks---carefully crafted adversarial samples that closely resemble legitimate instances, but cause misclassification. In this paper, we examine the adequacy of the leading approach to generating adversarial samples---the gradient descent approach. In particular (1) we perform extensive experiments on three datasets, MNIST, USPS and Spambase, in order to analyse the effectiveness of the gradient-descent method against non-linear support vector machines, and conclude that carefully reduced kernel smoothness can significantly increase robustness to the attack; (2) we demonstrate that separated inter-class support vectors lead to more secure models, and propose a quantity similar to margin that can efficiently predict potential susceptibility to gradient-descent attacks, before the attack is launched; and (3) we design a new adversarial sample construction algorithm based on optimising the multiplicative ratio of class decision functions.

연구 동기 및 목표

• RBF-SVM에 대한 적대적 샘플 생성에 있어 경사하강법의 효과성과 한계를 체계적으로 평가하는 것.
• 커널의 부드러움(γ로 제어됨)이 경사 기반 탈출 공격에 대한 모델의 강건성에 미치는 영향을 조사하는 것.
• 경사하강법 공격에 대한 모델 취약성과 관련된 지지벡터의 기하학적 성질을 규명하는 것.
• 공격 성공률 향상과 입력 변형 최소화를 동시에 달성하는 새로운 적대적 샘플 생성 방법을 개발하고 검증하는 것.

제안 방법

• 입력 특성을 반복적으로 수정하여 오분류를 극대화함으로써, 결정 함수의 경사를 사용하여 적대적 샘플을 생성하는 데 경사하강법을 적용한다.
• 최고 클래스의 결정 점수 대 대상 클래스 점수의 비율을 최적화하는 새로운 공격 방법인 경사-비율 방법을 제안하며, 이는 더 효과적인 탈출을 가능하게 한다.
• 공격 이전에 모델의 공격 취약성을 예측하기 위해 이종 클래스 지지벡터 간 거리와 마진 유사 성질에 기반한 기하학적 지표를 도입한다.
• 공격 성공률와 단계 전이 현상을 분석하기 위해 MNIST, USPS, Spambase 데이터셋을 사용하여 다양한 γ 값으로 RBF-SVM을 적용한 실험을 수행한다.
• 모델 간 일반화 능력을 테스트하기 위해 동일 RBF-SVM 내부 및 RBF-SVM에서 RBF 신경망으로의 이식성(transferability)을 평가한다.
• 모방 공격의 경우 간접적인 두 단계 방법을 사용한다—먼저 중간 클래스(예: '6')로 오분류한 후 최종 목표 클래스(예: '0')로 전환함으로써 성공률을 향상시킨다.

실험 결과

연구 질문

• RQ1 경사하강법은 RBF-SVM 탈출 공격에서 구조적 한계를 가지는가? 만약 그렇다면 어떤 조건에서 그러한 한계가 발생하는가?
• RQ2 커널 정밀도 파rameter γ는 RBF-SVM에 대한 경사 기반 탈출 공격의 성공률에 어떻게 영향을 미치는가?
• RQ3 마진과 이종 클래스 지지벡터 간 거리와 관련된 기하학적 측정치는 경사하강법 공격에 대한 모델의 취약성을 예측할 수 있는가?
• RQ4 제안된 경사-비율 방법은 다중 클래스 상황에서 표준 경사하강법보다 더 효과적인가?
• RQ5 RBF-SVM에서 RBF 신경망으로의 공격 이식성은 다양한 모델 유형 간에 달성 가능한가?

주요 결과

• 특정 γ 값에서 공격 성공률의 단계 전이 현상이 관찰되었으며, 낮은 γ(커널의 부드러움 감소)일수록 경사하강법 공격에 대한 강건성이 상당히 향상된다.
• 제안된 경사-비율 방법은 표준 경사하강법보다 공격 성공률가 높으며, 특히 다중 클래스 및 모의 공격 상황에서 두드러진 성능 향상을 보였다.
• RBF-SVM에 대한 경사-비율 공격의 이식성 테스트에서 성공률는 61.3%에서 69.1% 사이로 나타나, 다양한 모델 유형 간 강력한 일반화 능력을 보였다.
• 모의 공격의 경우, 먼저 '6' 클래스로 오분류한 후 '0' 클래스로 전환하는 간접적 접근 방식이 전체 성공률를 두 배로 높였으며, 첫 번째 단계에서는 100% 성공률를 기록했고, 최종 오분류 성공률도 향상되었다.
• 이종 클래스 지지벡터 간 거리에 기반한 제안된 기하학적 취약도 예측 지표는 모델의 취약성과 강하게 상관관계가 있으며, 공격 위험을 사전에 평가할 수 있도록 한다.
• RBF-SVM 간 내부 이식성 공격은 성공률 65% 이상을 기록했으며, 일부 모델은 100%에 도달했으며, 이는 동일한 모델 유형 내에서 강력한 공격 이식성 능력을 보임을 시사한다.