[논문 리뷰] Adversarial Transformation Networks: Learning to Generate Adversarial Examples

Shumeet Baluja, Ian Fischer|arXiv (Cornell University)|2017. 03. 28.

Adversarial Robustness in Machine Learning참고 문헌 28인용 수 221

한 줄 요약

ATN은 대상 분류기에 대한 적대적 예제를 생성하기 위해 피드포워드 네트워크로 학습되며, MNIST와 ImageNet(Inception ResNet v2)에서의 자기지도 학습으로 빠르고 다양하며 타깃된 공격을 가능하게 한다.

ABSTRACT

Multiple different approaches of generating adversarial examples have been proposed to attack deep neural networks. These approaches involve either directly computing gradients with respect to the image pixels, or directly solving an optimization on the image pixels. In this work, we present a fundamentally new method for generating adversarial examples that is fast to execute and provides exceptional diversity of output. We efficiently train feed-forward neural networks in a self-supervised manner to generate adversarial examples against a target network or set of networks. We call such a network an Adversarial Transformation Network (ATN). ATNs are trained to generate adversarial examples that minimally modify the classifier's outputs given the original input, while constraining the new classification to match an adversarial target class. We present methods to train ATNs and analyze their effectiveness targeting a variety of MNIST classifiers as well as the latest state-of-the-art ImageNet classifier Inception ResNet v2.

연구 동기 및 목표

• 적대적 예제를 생성하여 딥 러닝 분류기의 약점을 동기 부여하고 시연한다.
• 상위 출력 순서를 유지하면서 적대적 입력을 생성하는 Adversarial Transformation Networks를 제안한다.
• MNIST 분류기와 최첨단 ImageNet 모델에 대한 타깃형 화이트박스 ATN 학습을 시연한다.
• ATN의 전이성, 내부 상태 정보 및 병렬/직렬 사용을 분석한다.

제안 방법

• ATN을 대상 분류기 f에 대한 적대적 예제 x'를 출력하는 뉴럴 네트워크 g_{f,θ}(x)로 정의한다.
• 합성 손실 β L_{X}(g_{f,θ}(x), x) + L_{Y}(f(g_{f,θ}(x)), f(x))를 최소화하여 ATN을 학습한다.
• 목표 공격을 사용하고 L_{Y}를 재정렬 함수 r(y, t)로 구성하여 변환 후 대상 클래스 t가 최상으로 유지되도록 한다.
• 두 가지 ATN 변형을 탐구한다: Perturbation ATN (P-ATN) 및 Adversarial Autoencoding (AAE) ATN으로, 출력이 유효 입력 범위로 제한되도록 한다(예: tanh 활성화).
• 타깃 라벨을 필요로 하지 않는 고정 타깃 분류기에 대해 자기지도 방식으로 ATN을 학습한다.

실험 결과

연구 질문

• RQ1 피드포워드 네트워크를 학습시켜 대상 분류기에 대해 효과적인 타깃형 적대적 예제를 생성할 수 있는가?
• RQ2 하나의 네트워크에서 학습된 ATN이 다른 네트워크로 전이되는가, 그리고 여러 네트워크를 동시에 공격하도록 학습시킬 수 있는가?
• RQ3 내부 분류기 신호(내부 정보)를 제공하면 ATN의 효과가 향상되며, 특히 2차 출력 순서를 유지하는 데 도움이 되는가?
• RQ4 ATN을 병렬 또는 직렬로 적용했을 때의 동작은 어떠하며, 이것이 이미지 품질과 공격 성공에 어떤 영향을 미치는가?
• RQ5 MNIST에서 학습된 ATN이 대규모 ImageNet 모델로 확장되며, 다양한 ATN 아키텍처가 적대력의 다양성과 강도에 어떤 영향을 미치는가?

주요 결과

• ATNs can achieve high targeted fooling rates on MNIST classifiers, with success varying by β, and smaller β yields more faithful reconstructions but higher attack success.
• AAE ATNs generally outperform Perturbation ATNs in top-1 adversarial accuracy against ImageNet’s Inception ResNet v2, while perturbation approaches preserve more original pixels.
• ATN transformations tend to diversify adversarial outputs, producing a variety of plausible perturbations rather than a single perturbation pattern.
• Transferability tests show ATN attacks are not universal across different architectures; models trained to attack one network do not automatically fool others.
• Training ATNs with signals from multiple networks yields strong performance on trained targets and some transfer to unseen networks, with varying success.*
• Providing internal state information from the target classifier can improve secondary-output preservation, enhancing conditional success rates for the second-ranked class.*
• Serial application of ATNs degrades image quality, while parallel application can achieve broad success across multiple networks, with diminishing returns as more ATNs are chained.