[논문 리뷰] Adversarial Attacks in Sound Event Classification

Vinod Subramanian, Emmanouil Benetos외 3명|arXiv (Cornell University)|2019. 07. 04.

Music and Audio Processing참고 문헌 28인용 수 6

한 줄 요약

이 논문은 FSDKaggle2018 데이터셋에 대해 훈련된 다섯 개의 딥러닝 모델을 대상으로, 음향 이벤트 분류에서 기울기 기반 방법을 사용한 적대적 공격을 조사한다. 다양한 아키텍처, 특히 멜스펙트로그램 및 원본 오디오 모델을 포함하여, 최소한의 변형으로도 적대적 예제를 생성할 수 있으며, 높은 오도 확신도를 보임으로써 최신 오디오 분류 시스템의 심각한 강건성 취약성을 드러낸다.

ABSTRACT

Adversarial attacks refer to a set of methods that perturb the input to a classification model in order to fool the classifier. In this paper we apply different gradient based adversarial attack algorithms on five deep learning models trained for sound event classification. Four of the models use mel-spectrogram input and one model uses raw audio input. The models represent standard architectures such as convolutional, recurrent and dense networks. The dataset used for training is the Freesound dataset released for task 2 of the DCASE 2018 challenge and the models used are from participants of the challenge who open sourced their code. Our experiments show that adversarial attacks can be generated with high confidence and low perturbation. In addition, we show that the adversarial attacks are very effective across the different models.

연구 동기 및 목표

• 딥러닝 모델이 음향 이벤트 분류에서 적대적 공격에 얼마나 취약한지 평가하기 위해.
• 기울기 기반 적대적 공격 알고리즘이 다양한 모델 아키텍처에 얼마나 효과적인지 분석하기 위해.
• 다른 모델 및 입력 표현 간에 적대적 예제의 이동성(transferability)을 조사하기 위해.
• 적대적 예제의 음향적 해석 가능성과 압축에 대한 강건성 평가하기 위해.
• 실세계 오디오 분류 응용 분야에서의 보안 및 강건성 리스크를 부각하기 위해.

제안 방법

• Carlini & Wagner, L-BFGS, Deepfool, Saliency Map의 네 가지 기울기 기반 적대적 공격 알고리즘을 다섯 개의 딥러닝 모델에 적용하였다.
• 모델로는 멜스펙트로그램 및 원본 오디오 입력을 사용한 VGG13, CRNN, GCNN, 그리고 두 가지 DenseNet 변종을 포함하였다.
• 입력 변형을 최적화하여 최소한의 왜곡으로 오분류를 극대화함으로써 적대적 예제를 생성하였다.
• 청각적 은폐성( perceptual invisibility )을 정량화하기 위해 신호 대 잡음비(SNR)를 사용하여 변형을 평가하였다.
• 공격을 한 모델에서 다른 모델에 적용하여 적대적 예제의 이동성을 테스트하였다.
• 스펙트로그램에서 오디오 재구성은 오디오 수준의 변형을 검증하기 위해 Griffin-Lim 알고리즘을 사용하였다.

실험 결과

연구 질문

• RQ1 기울기 기반 적대적 공격가 음향 이벤트 분류의 딥러닝 모델을 최소한의 변형으로 성공적으로 오도시킬 수 있는가?
• RQ2 다양한 모델 아키텍처와 입력 표현 간에 적대적 공격의 성공률는 어떻게 달라지는가?
• RQ3 다른 아키텍처나 입력 유형을 가진 모델 간에 적대적 예제의 이동성은 어느 정도인가?
• RQ4 일부 적대적 예제가 효과적인 이유에 대한 음향적 또는 청각적 설명은 존재하는가?
• RQ5 일반적인 오디오 압축 기술에 대해 적대적 예제는 얼마나 강건한가?

주요 결과

• Carlini & Wagner 공격는 타겟 공격에서 가장 높은 성공률를 기록하여 L-BFGS 및 Deepfool를 능가하였다.
• 매우 낮은 변형으로도 적대적 예제를 생성할 수 있었으며, 평균 SNR 값이 높아 청각적으로 거의 인식되지 않는 것으로 나타났다(예: Carlini & Wagner 공격에서 Cello의 경우 평균 SNR 60.8 dB).
• L-BFGS 공격는 Carlini & Wagner에 비해 훨씬 높은 변형을 요구하였으며, 대부분의 경우 평균 SNR 값이 55 dB 이하였다.
• 적대적 예제의 이동성은 제한적이지만 0이 아니었으며, 유사한 아키텍처를 가진 모델 간(예: DenseNet에서 DenseNet으로)에 더 높은 이동률을 보였다.
• 멜스펙트로그램 입력을 사용하는 모델는 원본 오디오 모델로의 이동성은 낮았으며, 이는 입력 표현 방식이 적대적 이동성에 영향을 준다는 것을 시사한다.
• 음향 클래스 간의 음향 유사성과 필요한 변형 강도 사이에 명확한 상관관계는 없었으며, 이는 적대적 예제가 음향적으로 설명 가능하지 않다는 것을 의미한다.