[논문 리뷰] Adversarial Robustness with Non-uniform Perturbations

Ecenaz Erdemir, Jeffrey Bickford외 2명|arXiv (Cornell University)|2021. 02. 24.

Adversarial Robustness in Machine Learning참고 문헌 42인용 수 4

한 줄 요약

이 논문은 악성코드 탐지, 신용 리스크 평가, 스팸 필터링과 같은 실세계 응용 분야에서 특성 간 상관관계와 중요도를 고려한 비균일한 교란을 고려한 적대적 훈련을 제안한다. 변환 행렬 Ω를 사용해 비균일한 ℓp-노름 제약 조건을 정의함으로써, 균일한 교란보다 실질적인 공격에 대해 훨씬 높은 강건성을 확보하였으며, 강력한 공격 조건 하에서 스팸 탐지 작업에서 최대 94.5%의 방어 성공률을 기록하였다.

ABSTRACT

Robustness of machine learning models is critical for security related applications, where real-world adversaries are uniquely focused on evading neural network based detectors. Prior work mainly focus on crafting adversarial examples (AEs) with small uniform norm-bounded perturbations across features to maintain the requirement of imperceptibility. However, uniform perturbations do not result in realistic AEs in domains such as malware, finance, and social networks. For these types of applications, features typically have some semantically meaningful dependencies. The key idea of our proposed approach is to enable non-uniform perturbations that can adequately represent these feature dependencies during adversarial training. We propose using characteristics of the empirical data distribution, both on correlations between the features and the importance of the features themselves. Using experimental datasets for malware classification, credit risk prediction, and spam detection, we show that our approach is more robust to real-world attacks. Finally, we present robustness certification utilizing non-uniform perturbation bounds, and show that non-uniform bounds achieve better certification.

연구 동기 및 목표

• 특성 간 상관관계와 의미적 제약 조건이 존재하는 실세계 보안 응용 분야에서 균일한 노름 유계 교란의 한계를 해결하기 위해.
• 악성코드 탐지, 신용 리스크 예측, 스팸 탐지와 같은 분야에서 실질적인 교란 제약 조건을 모델링함으로써 적대적 강건성을 향상시키기 위해.
• 균일한 경계보다 더 강력한 이론적 보장을 제공하는 비균일한 교란에 대한 인증 프레임워크를 개발하기 위해.
• 비균일한 적대적 훈련이 표준 균일 공격에 대해 더 잘 일반화되어 실용적 강건성을 향상시킨다는 것을 입증하기 위해.

제안 방법

• 특성 간 상관관계, 중요도, 도메인 지식을 반영하기 위해 Ω를 사용해 비균일한 ℓp-노름 제약 조건 ||Ωδ||_p ≤ ε 를 도입한다.
• Mahalanobis 거리(MD), SHAP 값, 피어슨 상관계수를 사용해 Ω를 구성하여 데이터 분포 특성을 반영한다.
• 비균일한 제약 조건을 적용한 적대적 훈련을 수행하여, 실질적인 교란 패턴 하에서도 강건한 모델을 최적화한다.
• 비균일 및 균일 노름 제약 조건을 모두 강제하는 하이브리드 방어(Combo)를 제안하여 강건성과 일반화 능력의 균형을 도모한다.
• 구조화된 교란에 대해 비균일 교란 경계를 이용한 강건성 인증을 적용하여, 이론적 보장을 가능하게 한다.
• PGD 공격과 방어 성공률을 사용해 악성코드, 신용 리스크, 스팸 탐지에 대한 실세계 데이터셋에서 접근 방식을 검증한다.

실험 결과

연구 질문

• RQ1 실세계 특성 간 상관관계를 반영한 비균일한 교란이 보안 중심 응용 분야에서 적대적 강건성을 향상시킬 수 있는가?
• RQ2 실제 공격 조건 하에서 비균일 제약 조건을 적용한 적대적 훈련이 표준 균일 노름 유계 훈련보다 어떻게 비교되는가?
• RQ3 비균일 교란 경계는 균일 경계보다 더 강력한 강건성 인증을 가능하게 하는가?
• RQ4 제안된 방법은 표준 균일 공격에 대해 일반화되는가? 이는 더 넓은 실용적 유용성을 시사하는가?
• RQ5 특성 중요도와 상관계수는 효과적인 비균일 교란 제약 조건을 구성하는 데 어떤 역할을 하는가?

주요 결과

• 스팸 탐지 데이터셋에서 Mahalanobis 기반 Ω를 사용한 비균일 방법(NU-δ-MD)은 ε=1.5 조건에서 94.45%의 방어 성공률을 기록하여, 균일 기반 기준선(93.22%)과 Combo 방어(ε=1.5일 때 94.27%)를 모두 초월하였다.
• 악성코드 분류 작업에서는 MD 기반 Ω를 사용한 비균일 접근 방식이 ε=0.5 조건에서 92.6%의 강건 정확도를 달성하여, 균일 기반 기준선(89.6%)과 다른 비균일 변형보다 뚜렷이 뛰어났다.
• 신용 리스크 예측 작업에서는 NU-δ-MD 변형이 ε=0.7 조건에서 89.4%의 강건 정확도를 기록하여, 균일 기준선(87.3%)과 다른 비균일 설정을 모두 능가하였다.
• 스팸 탐지 응용 사례에서 비균일 방어는 모든 공격 반경에서 균일 기준선를 항상 앞섰으며, 특히 ε=0.7일 때 가장 큰 격차를 보였다(NU-δ-MD: 87.7% 대 Uniform-δ: 86.5%).
• 비균일 및 균일 제약 조건을 모두 적용한 Combo 방어는 중간 성능을 보였으며, 이는 비균일 성분이 강건성 향상에 필수적임을 확인시켰다.
• 비균일 경계를 사용한 강건성 인증은 균일 경계보다 더 날카롭고 효과적이었으며, 이는 이론적 우월성을 입증하였다.