[논문 리뷰] Advbox: a toolbox to generate adversarial examples that fool neural networks

Dou Goodman, Xin Hao외 4명|arXiv (Cornell University)|2020. 01. 13.

Adversarial Robustness in Machine Learning참고 문헌 50인용 수 39

한 줄 요약

AdvBox는 여러 프레임워크(PaddlePaddle, PyTorch, Caffe2, MXNet, Keras, TensorFlow)에서 신경망을 속이기 위한 적대적 예제를 생성할 수 있는 Python 기반 도구 상자이며 블랙박스 및 실제 공격 시나리오를 지원하고 강건성 벤치마킹을 제공합니다.

ABSTRACT

In recent years, neural networks have been extensively deployed for computer vision tasks, particularly visual classification problems, where new algorithms reported to achieve or even surpass the human performance. Recent studies have shown that they are all vulnerable to the attack of adversarial examples. Small and often imperceptible perturbations to the input images are sufficient to fool the most powerful neural networks. \emph{Advbox} is a toolbox to generate adversarial examples that fool neural networks in PaddlePaddle, PyTorch, Caffe2, MxNet, Keras, TensorFlow and it can benchmark the robustness of machine learning models. Compared to previous work, our platform supports black box attacks on Machine-Learning-as-a-service, as well as more attack scenarios, such as Face Recognition Attack, Stealth T-shirt, and DeepFake Face Detect. The code is licensed under the Apache 2.0 and is openly available at https://github.com/advboxes/AdvBox. Advbox now supports Python 3.

연구 동기 및 목표

• 주요 DL 프레임워크 전반에 걸친 적대적 예제 생성 및 평가를 동기 부여하고 가능하게 한다.
• 공격, 방어 및 강건성 벤치마킹을 위한 통일된 플랫폼을 제공한다.
• 블랙박스 ML-as-a-Service 및 실제 환경 설정(안면 인식 공격, 위장 티셔츠, DeepFake 얼굴 탐지)으로 공격 시나리오를 확장한다.

제안 방법

• 거리 기반扰perturbation 측정을 포함한 다수의 적대적 공격(FGSM, BIM, DeepFool, JSMA, CW, PGD)을 구현한다.
• TensorFlow, PyTorch, MXNet, PaddlePaddle용 모델 인터페이스를 제공하고 GraphPipe를 지원하여 기본 플랫폼을 차폐한다.
• 적대자, 공격 및 방어 로직을 객체 지향 AdvBox 프레임워크에 캡슐화한다.
• 6가지 방어 방법(특징 수축, 공간 평활화, 라벨 스무딩, 가우시안 증강, 적대적 학습, 온도 인코딩)을 포함한다.
• 비전 모델과 클라우드 API의 강건도 벤치마크를 위한 Perceptron 강건도 평가 하위 프로젝트를 제공한다.
• 표준 벤치마크를 넘어서는 공격 시나리오를 조사하고 가능하게 한다(얼굴 인식 공격, 위장 티셔츠, DeepFake 얼굴 탐지).

실험 결과

연구 질문

• RQ1 다양한 심층 학습 프레임워크 전반에서 적대적 예제를 어떻게 효율적으로 생성할 수 있는가?
• RQ2 다양한 공격에 대해 어떤 방어가 효과적이며 강건성을 어떻게 일관되게 벤치마크할 수 있는가?
• RQ3 적대적 공격을 블랙박스, ML-서비스로 확장하고 얼굴 인식 및 DeepFake 탐지와 같은 실제 시나리오로 확장할 수 있는가?
• RQ4 다양한 섭 perturbation 측정(L1, L2, L∞ 등)이 작업 전반의 공격 효과에 어떤 영향을 미치는가?

주요 결과

• AdvBox는 PaddlePaddle, PyTorch, Caffe2, MXNet, Keras 및 TensorFlow 전반에서 블랙박스 옵션을 포함한 적대적 생성을 지원한다.
• 핵심 공격 6가지(FGSM, BIM, DeepFool, JSMA, CW, PGD)를 구현하고 이를 일반적인扰perturbation 노름(L1, L2, L∞)과 일치시킨다.
• 이 플랫폼은 6가지 방어를 제공하고 비전 모델 및 클 cloud API에 대한 Perceptron 벤치마크를 통한 강건도 평가를 시연한다.
• AdvBox는 표준 벤치마크를 넘어서는 공격 시나리오를 가능하게 하며 얼굴 인식 공격, 위장 티셔츠, DeepFake 얼굴 탐지 등을 포함한다.
• AdvBox는 접근성과 개방성을 강조하며 오픈 소스 가용성 및 파이썬 기반의 객체 지향 설계를 특징으로 한다.
• 이 도구 상자는 GraphPipe를 지원하여 프레임워크에 구애받지 않는 모델 질의와 다양한 생태계의 모델 파일에 대한 블랙박스 접근을 제공한다.