[논문 리뷰] Adversarial Example in Remote Sensing Image Recognition

Li Chen, Guowei Zhu외 2명|arXiv (Cornell University)|2019. 10. 29.

Adversarial Robustness in Machine Learning참고 문헌 40인용 수 31

한 줄 요약

이 논문은 딥 컨volution 네트워크(Deep CNNs)를 사용한 원격 감지 영상(RSI) 인식에서 적대적 예외(adversarial examples)에 대한 최초의 분석을 제시한다. 작은, 인지하기 어려운 변형이 고정확도 RSI 모델을 속일 수 있음을 입증하며, 이는 모델의 취약성과 공격의 선택성(selectivity)을 드러낸다. 여기서 잘못 분류되는 경우는 CNN 특성 공간에서 유사한 특징을 가진 클래스들로 치우쳐 있다.

ABSTRACT

With the wide application of remote sensing technology in various fields, the accuracy and security requirements for remote sensing images (RSIs) recognition are also increasing. In recent years, due to the rapid development of deep learning in the field of image recognition, RSI recognition models based on deep convolution neural networks (CNNs) outperform traditional hand-craft feature techniques. However, CNNs also pose security issues when they show their capability of accurate classification. By adding a very small variation of the adversarial perturbation to the input image, the CNN model can be caused to produce erroneous results with extremely high confidence, and the modification of the image is not perceived by the human eye. This added adversarial perturbation image is called an adversarial example, which poses a serious security problem for systems based on CNN model recognition results. This paper, for the first time, analyzes adversarial example problem of RSI recognition under CNN models. In the experiments, we used different attack algorithms to fool multiple high-accuracy RSI recognition models trained on multiple RSI datasets. The results show that RSI recognition models are also vulnerable to adversarial examples, and the models with different structures trained on the same RSI dataset also have different vulnerabilities. For each RSI dataset, the number of features also affects the vulnerability of the model. Many features are good for defensive adversarial examples. Further, we find that the attacked class of RSI has an attack selectivity property. The misclassification of adversarial examples of the RSIs are related to the similarity of the original classes in the CNN feature space. In addition, adversarial examples in RSI recognition are of great significance for the security of remote sensing applications, showing a huge potential for future research.

연구 동기 및 목표

• 딥 컨volution 네트워크(CNNs) 기반 원격 감지 영상(RSI) 인식 시스템에서 적대적 예외의 존재성과 영향을 조사하는 것.
• 다양한 고정확도 RSI 인식 모델이 다양한 적대적 공격 알고리즘에 얼마나 취약한지 평가하는 것.
• 모델 아키텍처, 데이터셋 특성, 그리고 적대적 변형에 대한 취약성 간의 관계를 분석하는 것.
• 특히 공격의 선택성에 기여하는 기하학적 성질과 특성 공간 성질을 탐색하는 것.
• 안정적이고 견고한 CNN 기반 RSI 응용 분야를 위한 향후 방어 기법에 기초적인 통찰을 제공하는 것.

제안 방법

• 다양한 RSI 데이터셋에서 사전 훈련된 RSI 인식 모델을 대상으로 여러 적대적 공격 알고리즘(FGSM, PGD 등)을 적용하여 오염시키는 방법을 사용.
• 동일한 RSI 데이터셋을 기반으로 다양한 아키텍처를 가진 여러 CNN 모델을 훈련시켜, 적대적 예외에 대한 취약성 수준을 비교.
• 훈련된 모델의 마지막 완전 연결층에서 특징을 추출하여 CNN 특성 공간 내에서 RSI 클래스의 기하학적 분포를 분석.
• t-SNE 차원 감소를 통해 유도된 군집 중심과 RSI 샘플 간의 L2 거리를 계산하여 특징 유사도를 평가.
• 고차원 RSI 특징을 저차원 공간으로 매핑하기 위해 t-SNE 시각화를 활용하여 적대적 예외의 군집화 특성을 분석.
• 공격 성공률과 적대적 예외의 클래스 분포를 평가하여 잘못 분류되는 패턴과 공격의 선택성 원인을 규명.

실험 결과

연구 질문

• RQ1 딥 CNN 기반 RSI 인식 모델은 높은 분류 정확도를 보일지라도, 여전히 적대적 예외에 취약한가?
• RQ2 모델 아키텍처와 훈련 데이터셋 규모는 RSI 모델의 적대적 공격에 대한 취약성에 어떤 영향을 미치는가?
• RQ3 CNN 특성 공간에서 클래스 간 유사성이 높을수록 적대적 잘못 분류 가능성도 증가하는가?
• RQ4 적대적 예외는 특정 클래스로 잘못 분류되는 경향이 있는가? 만약 그렇다면, 이러한 선택성은 무엇에 의해 결정되는가?
• RQ5 특성 공간 내 군집 경계에 가까운 데이터 포인트의 기하학적 위치는 특정 RSI 샘플이 적대적 변형에 더 취약한 이유를 설명할 수 있는가?

주요 결과

• 딥 CNN 기반 RSI 인식 모델은 적대적 예외에 취약하며, 미세하고 인지하기 어려운 변형을 통해 성공적인 공격가능성이 확인됨.
• 동일한 RSI 데이터셋에서 훈련된 서로 다른 아키텍처의 모델은 동일한 공격 알고리즘에 대해 서로 다른 수준의 취약성을 보임.
• 모델의 특징 수가 많을수록 일반적으로 취약도가 감소함을 확인함. 즉, 높은 특징 수는 보다 안정적인 성능을 유도함.
• 적대적 예외는 강한 공격 선택성을 보이며, 이는 주로 CNN 특성 공간에서 유사한 특징을 가진 클래스들로 잘못 분류되는 경향이 있음.
• 특성 공간 내 군집 중심보다 경계 근처에 위치한 데이터 포인트는 중심에 가까운 포인트보다 더 적대적 변형에 취약함.
• 실험 전반에서 가장 자주 발생하는 적대적 타겟 클래스는 '모래사장(beach)'이었으며, 이는 특정 클래스가 특성 특성상 본질적으로 더 취약할 수 있음을 시사함.