[논문 리뷰] Adversarial Machine Learning in Image Classification: A Survey Towards the Defender's Perspective

Gabriel Resende Machado, Eugênio Silva외 1명|arXiv (Cornell University)|2020. 09. 08.

Adversarial Robustness in Machine Learning참고 문헌 197인용 수 18

한 줄 요약

이 종합적이고 수비자 중심의 리뷰는 이미지 분류 분야의 적대적 기계학습에 대해 포괄적인 분석을 제공하며, 공격 및 방어에 대한 새로운 분류 체계를 도입하고, 실용적인 지침을 제시하며, 하이브리드 방어 아키텍처와 같은 유망한 미래 연구 방향을 규명한다. 적응형 공격에 대한 강건성을 강조하며, 최신 방어 기법과 그 한계에 대한 종합적인 개요를 제공한다.

ABSTRACT

Deep Learning algorithms have achieved the state-of-the-art performance for Image Classification and have been used even in security-critical applications, such as biometric recognition systems and self-driving cars. However, recent works have shown those algorithms, which can even surpass the human capabilities, are vulnerable to adversarial examples. In Computer Vision, adversarial examples are images containing subtle perturbations generated by malicious optimization algorithms in order to fool classifiers. As an attempt to mitigate these vulnerabilities, numerous countermeasures have been constantly proposed in literature. Nevertheless, devising an efficient defense mechanism has proven to be a difficult task, since many approaches have already shown to be ineffective to adaptive attackers. Thus, this self-containing paper aims to provide all readerships with a review of the latest research progress on Adversarial Machine Learning in Image Classification, however with a defender's perspective. Here, novel taxonomies for categorizing adversarial attacks and defenses are introduced and discussions about the existence of adversarial examples are provided. Further, in contrast to exisiting surveys, it is also given relevant guidance that should be taken into consideration by researchers when devising and evaluating defenses. Finally, based on the reviewed literature, it is discussed some promising paths for future research.

연구 동기 및 목표

• 수비자의 시각에서 이미지 분류 분야의 적대적 기계학습에 대해 포괄적이고 자율적인 종합적 리뷰를 제공하는 것.
• 최근 접근 방식을 포함하여 기존 분류 체계를 업데이트하는 공격 및 방어 수단을 분류하기 위한 새로운 분류 체계를 제안하는 것.
• 기존 방어 방법의 효과성을 평가하고 논의하여 적응형 공격에 대한 취약성을 드러내는 것.
• 연구자들이 방어 기법을 설계하고 평가할 때 따라야 할 실용적 지침을 제공하며, 강건성 평가 정책을 포함하는 것.
• 하이브리드 방어 아키텍처와 같은 유망한 미래 연구 방향을 규명하고 논의하는 것.

제안 방법

• 2020년 이전에 출판된 자료에 국한하여 이미지 분류 분야의 적대적 공격 및 방어에 대한 체계적 문헌 리뷰를 수행한다.
• 위협 모델, 최적화 방법, 변형 유형을 기반으로 한 새로운 적대적 공격 분류 체계를 제안하여 공격 전략의 분류를 향상시킨다.
• 기구(예: 적대적 훈련, 입력 전처리, 모델 분석)와 내성 수준에 따라 방어를 분류하는 새로운 방어 분류 체계를 도입한다.
• 적대적 예제의 존재성과 이동 가능성에 대한 설명을 분석하고 논의하며, 고차원 기하학과 모델의 선형성 등을 포함한다.
• 강건성 대 적응형 공격, 일반화 능력, 계산 비용 등의 기준을 사용하여 방어 방법을 평가한다.
• 반응형 탐지, 전처리, 주도적 분류 모듈을 조합한 하이브리드 방어 아키텍처를 제안하며, 방어 레포지터리에서 랜덤으로 구성 요소를 선택하여 강건성을 향상시킨다.

실험 결과

연구 질문

• RQ1 이미지 분류 분야의 적대적 공격의 핵심 특성과 분류 체계는 무엇이며, Szegedy 등이 수행한 기초 연구 이후로 어떻게 진화해 왔는가?
• RQ2 적응형 적대자에 대비한 강건성을 확보하기 위해, 적대적 공격에 대한 방어를 체계적으로 분류하고 평가할 수 있는 방법은 무엇인가?
• RQ3 딥 뉴럴 네트워크에서 적대적 예제의 존재성과 이동 가능성의 근본적인 이유는 무엇인가?
• RQ4 새로운 방어 기법을 설계하고 평가할 때 연구자들이 따라야 할 실용적 지침은 무엇인가?
• RQ5 적대적 위협에 대비한 강건한 딥 러닝 모델을 구축하기 위해 가장 유망한 미래 연구 방향은 무엇인가?

주요 결과

• 논문은 많은 제안된 방어 기법들이 초보적인 성능을 보였지만, 적응형 공격에 취약하여 강건성 문제에 지속적으로 직면해 있음을 밝혀냈다.
• 적대적 예제는 고차원 모델의 민감성과 결정 경계의 선형적 행동으로 인해 심지어 최신 모델에서도 발생함을 입증했다.
• 이 리뷰는 적대적 예제의 이동성이 널리 퍼져 있는 현상임을 드러내며, 한 모델에서 훈련된 공격이 다른 아키텍처를 가진 모델에도 성공하는 경우가 많음을 보여주었다.
• 연구자들은 현재 평가 관행이 종종 엄밀하지 않으며, 많은 방어 기법이 강력한 적응형 공격 환경에서 실패함을 확인했으며, 이는 표준화된 벤치마크가 필요함을 시사한다.
• 반응형 탐지, 전처리, 주도적 분류 모듈을 조합한 제안된 하이브리드 방어 아키텍처는 강건성 향상 가능성이 있는 새로운, 탐색되지 않은 길을 제시한다.
• 논문은 아직 완전히 효과적인 방어 기법이 존재하지 않으며, 향후 연구는 적응형, 모듈형, 해석 가능한 방어 기법에 초점을 맞춰야 한다고 결론 내린다.