[논문 리뷰] Adversarial Attacks on Deep Learning Based Power Allocation in a Massive MIMO Network

B. R. Manoj, Meysam Sadeghi외 1명|arXiv (Cornell University)|2021. 01. 28.

Adversarial Robustness in Machine Learning참고 문헌 19인용 수 6

한 줄 요약

이 논문은 대규모 MIMO 네트워크에서 딥러닝 기반 전력 할당에 대한 적대적 공격을 조사하며, 분류 작업에서 회귀 작업으로 확장된 백박스 및 화이트박스 공격—FGSM, MI-FGSM, PGD—를 적용한다. 최소한의 입력 편향을 통해 PGD는 화이트박스 환경에서 최대 86%의 비가능한 전력 할당 솔루션을 달성하며, 전이성 덕분에 특히 MR 조절 기법 하에서 효과적인 블랙박스 공격이 가능하다.

ABSTRACT

Deep learning (DL) is becoming popular as a new tool for many applications in wireless communication systems. However, for many classification tasks (e.g., modulation classification) it has been shown that DL-based wireless systems are susceptible to adversarial examples; adversarial examples are well-crafted malicious inputs to the neural network (NN) with the objective to cause erroneous outputs. In this paper, we extend this to regression problems and show that adversarial attacks can break DL-based power allocation in the downlink of a massive multiple-input-multiple-output (maMIMO) network. Specifically, we extend the fast gradient sign method (FGSM), momentum iterative FGSM, and projected gradient descent adversarial attacks in the context of power allocation in a maMIMO system. We benchmark the performance of these attacks and show that with a small perturbation in the input of the NN, the white-box attacks can result in infeasible solutions up to 86%. Furthermore, we investigate the performance of black-box attacks. All the evaluations conducted in this work are based on an open dataset and NN models, which are publicly available.

연구 동기 및 목표

• 딥러닝 기반 전력 할당의 대규모 MIMO 네트워크에서의 적대적 공격에 대한 취약성을 조사하는 것.
• 무선 자원 할당에서 분류 문제에서 회귀 문제로 확장된 기울기 기반 적대적 공격 방법—FGSM, MI-FGSM, PGD—를 적용하는 것.
• 화이트박스 및 블랙박스 공격 성공률을 평가하며, 다양한 조절 기법 간 전이성에 초점을 맞추는 것.
• 최대비율(MR) 및 다셀-MMSE(M-MMSE) 조절 기법 하에서 훈련된 딥 네트워크 모델의 강건성에 대한 벤치마킹을 수행하는 것.
• 향후 연구 검증을 위해 공개된 데이터셋과 훈련된 모델을 사용해 재현 가능한 결과를 제공하는 것.

제안 방법

• 손실 함수의 입력 채널 상태 정보(CSI)에 대한 기울기를 계산하여 회귀 문제에 적합한 FGSM, MI-FGSM, PGD 공격를 변형하여 적대적 편향을 생성하는 방식.
• 다셀 대규모 MIMO 시스템에서 최대제품 SINR 기준으로 최적의 전력 할당을 예측하기 위해 공개된 데이터셋으로 훈련된 딥 네트워크(DNN) 모델을 사용하는 방식.
• L-무한대 노름(ε)으로 제한된 입력 CSI에 대한 편향을 적용하여 눈에 띄지 않게 하면서 동시에 모델의 잘못된 예측를 극대화하는 방식.
• 대상 DNN 아키텍처와 파rameters에 대한 전체 액세스 권한이 있는 화이트박스 공격를 평가하며, 전력 제약 위반으로 인한 비가능한 솔루션을 측정하는 방식.
• 대체 모델('Model 1')을 사용해 적대적 예제를 생성하고, 그 모델의 가중치에 액세스하지 못하는 피해자 모델('Model 2')로 전이하는 방식으로 블랙박스 공격를 수행하는 방식.
• 다양한 ε 값과 조절 기법(MR 및 M-MMSE) 간의 공격 성공률를 비교하며, 전이성과 강건성에 대해 분석하는 방식.

실험 결과

연구 질문

• RQ1 분류 작업이 아닌 회귀 작업인 대규모 MIMO 시스템에서 딥러닝 기반 전력 할당 모델을 기울기 기반 적대적 공격가 성공적으로 속일 수 있는가?
• RQ2 화이트박스 조건 하에서 FGSM, MI-FGSM, PGD 공격의 성공률는 비가능한 전력 할당 솔루션 생성에 있어 어떻게 비교되는가?
• RQ3 블랙박스 환경에서 적대적 예제가 대체 모델에서 피해자 모델로 전이되는 정도는 어느 정도인가?
• RQ4 조절 기법(MR 대비 M-MMSE)의 선택이 딥러닝 기반 전력 할당기의 적대적 공격에 대한 강건성에 어떤 영향을 미치는가?
• RQ5 편향 크기(ε)의 영향은 화이트박스 및 블랙박스 시나리오 모두에서 적대적 공격의 성공률에 어떤 영향을 미치는가?

주요 결과

• PGD 공격는 화이트박스 공격에서 가장 높은 성공률를 기록하였으며, ε = 0.4일 때 최대 86%의 예측 전력 할당이 비가능해졌다.
• 화이트박스 공격에서 PGD는 모든 ε 값에서 FGSM 및 MI-FGSM를 일관되게 능가하였으며, ε = 0.4일 때 성공률가 80%를 초과하였다.
• 블랙박스 공격에서 MR 조절 기법 하에서는 적대적 예제의 전이성이 뚜렷이 높았으며, ε = 0.4일 때 MI-FGSM를 사용해 최대 59%의 성공률를 기록하였다.
• M-MMSE 조절 기법 하에서는 전이성이 떨어졌으며, 랜덤 편향일 경우 최고 14%의 성공률, PGD일 경우 ε = 0.4일 때 13%의 성공률에 그쳤다.
• 놀랍게도 일부 M-MMSE 케이스에서는 랜덤 편향이 적대적 공격보다 더 높은 비가능성 비율을 기록하여 모델의 잠재적 불안정성을 시사하였다.
• 'Model 2'가 더 복잡한 만큼 반복적 공격(MI-FGSM, PGD)에 더 취약했으며, FGSM보다도 더 취약한 것으로 나타나, 모델 복잡도가 항상 강건성을 의미하지는 않는다는 점을 시사하였다.