[논문 리뷰] Adversarial Attacks on Probabilistic Autoregressive Forecasting Models

Raphaël Dang-Nhu, Gagandeep Singh외 2명|arXiv (Cornell University)|2020. 01. 01.

Adversarial Robustness in Machine Learning참고 문헌 48인용 수 5

한 줄 요약

이 논문은 점 추정이 아닌 확률 분포의 시퀀스를 출력하는 딥 확률적 순차적 예측 모델에 대한 최초의 적대적 공격 방법을 제시한다. 몬테 카를로 추정의 기대값을 통해 미분 가능한 방법으로 재구성 및 스코어 함수 추정기를 활용하여 기대값의 몬테 카를로 근사에 대해 미분 가능하게 만들고, 주식 거래 및 전기 소비 예측 작업에서 최소한의 입력 편향으로 효과적인 공격을 수행함을 입증하였다. 재구성 추정기는 스코어 함수 추정기보다 훨씬 더 효율적이고 효과적임을 입증하였다.

ABSTRACT

We develop an effective generation of adversarial attacks on neural models that output a sequence of probability distributions rather than a sequence of single values. This setting includes the recently proposed deep probabilistic autoregressive forecasting models that estimate the probability distribution of a time series given its past and achieve state-of-the-art results in a diverse set of application domains. The key technical challenge we address is effectively differentiating through the Monte-Carlo estimation of statistics of the joint distribution of the output sequence. Additionally, we extend prior work on probabilistic forecasting to the Bayesian setting which allows conditioning on future observations, instead of only on past observations. We demonstrate that our approach can successfully generate attacks with small input perturbations in two challenging tasks where robust decision making is crucial: stock market trading and prediction of electricity consumption.

연구 동기 및 목표

• 점 추정이 아닌 확률 분포의 시퀀스를 출력하는 딥 확률적 순차적 예측 모델에 대해 적대적 공격을 생성하는 데 도전하는 것.
• 모델의 출력이 몬테 카를로 추정을 통한 기대값으로 정의되는 환경에서 기울기 기반 화이트박스 공격을 가능하게 하는 것.
• 기존의 확률적 예측 작업을 향후 관측치에 조건부로 설정할 수 있는 베이지안 설정으로 확장하는 것.
• 주식 시장 거래 및 전기 소비 예측과 같이 강건한 순차적 의사결정이 요구되는 실제 도메인에서 적대적 공격의 효과성을 평가하는 것.

제안 방법

• 저자는 신경망을 사용하여 조건부 분포의 시퀀스로 확률적 순차적 예측 작업을 모델링하며, LSTMs와 같은 아키텍처를 활용해 분포 매개수를 생성한다.
• 공격 목표를 진짜 예측 분포에서의 이탈을 유도하는 손실 함수 최소화로 설정하며, 몬테 카를로 샘플의 기대값에 대한 미분 가능한 대체 함수를 사용한다.
• 두 가지 기울기 추정 기법을 사용한다: 스코어 함수 추정기(강화 학습 스타일 기울기)와 재구성 추정기(경로 기반 기울기)로, 모두 확률적 출력을 통해 역전파를 가능하게 한다.
• 재구성 추정기는 무작위 샘플을 노이즈에 대한 결정론적 함수로 표현하여 샘플링 과정을 통해 직접 기울기 계산이 가능하도록 한다.
• 공격 생성 과정은 이러한 기울기 추정기를 사용해 입력 편향을 최적화하여 원본 예측과 적대적 예측 간의 발산을 최대화하는 방식이다.
• 베이지안 확장은 향후 관측치에 조건부로 설정할 수 있게 하여 표준 순차적 조건부 설정을 넘어서는 새로운 유형의 추론 및 공격 질의를 가능하게 한다.

실험 결과

연구 질문

• RQ1 확률 분포의 시퀀스를 출력하는 확률적 순차적 예측 모델에 대해 점 예측이 아닌 경우에 효과적인 적대적 공격를 생성할 수 있는가?
• RQ2 기울기를 효율적으로 계산할 수 있는 방법은 무엇인가? 몬테 카를로 기대값 추정에 대해 기울기를 계산하여 화이트박스 공격 생성에 활용할 수 있는가?
• RQ3 재구성 추정기가 스코어 함수 추정기보다 확률적 예측 모델에 대해 낮은 노름의 적대적 편향을 생성하는 데서 더 뛰어난 성능을 보이는가?
• RQ4 주식 시장 거래 및 전기 소비 예측과 같은 실제 순차적 예측 작업에 대해 적대적 공격를 성공적으로 적용할 수 있는가?
• RQ5 모델을 베이지안 설정으로 확장할 경우 적대적 공격의 가능성과 효과성은 어떻게 영향을 받는가?

주요 결과

• 재구성 추정기는 스코어 함수 추정기보다 훨씬 뛰어난 성능을 보이며, 더 작은 편향 노름을 가진 적대적 공격를 생성함으로써 최적화 안정성과 기울기 품질 측면에서 뛰어난 성능을 입증하였다.
• 주식 거래 및 전기 소비 예측과 같은 두 가지 도전적인 실제 예측 작업에서 최소한의 입력 편향으로 효과적으로 적대적 공격를 생성하였다.
• 공격 성공은 정성적 및 정량적 분석을 통해 검증되었으며, 적대적 예측이 원본 예측과 크게 다를 뿐만 아니라 입력 변화는 매우 작음을 확인하였다.
• 모델의 베이지안 확장은 향후 관측치에 조건부로 설정할 수 있게 하여 새로운 유형의 질의, 예를 들어 향후 관측치를 기반으로 한 공격 질의를 가능하게 하였다.
• 제안된 방법은 LSTMs, TCNs, 트랜스포머 등 다양한 확률적 순차적 아키텍처에 일반적으로 적용 가능하며, 매개수 분포를 출력하는 한 적용 가능하다.
• 저자는 코드, 데이터셋, 재현 스크립트를 공개하여 복제 가능성과 확률적 예측의 적대적 강건성 분야의 향후 연구를 가능하게 하였다.