[논문 리뷰] Attacking Binarized Neural Networks

Angus Galloway, Graham W. Taylor외 1명|arXiv (Cornell University)|2017. 11. 01.

Adversarial Robustness in Machine Learning참고 문헌 12인용 수 22

한 줄 요약

이 논문은 이진화 신경망(BNNs)의 적대적 공격에 대한 강건성을 조사하며, 단일 레이어에서 가중치의 확률적 양자화가 반복적 적대적 공격에 대한 저항력을 크게 향상시킨다는 것을 입증한다. BNNs는 공격 성공을 저해하는 기울기 마스킹 효과를 보이며, 특히 확률적 양자화된 BNNs는 가장 강력한 화이트박스 공격(CWL2) 조건에서 MNIST에서 71±2%의 적대적 정확도를 달성하여, 전체 정밀도 모델보다 70배 이상 뛰어난 성능을 보였다.

ABSTRACT

Neural networks with low-precision weights and activations offer compelling efficiency advantages over their full-precision equivalents. The two most frequently discussed benefits of quantization are reduced memory consumption, and a faster forward pass when implemented with efficient bitwise operations. We propose a third benefit of very low-precision neural networks: improved robustness against some adversarial attacks, and in the worst case, performance that is on par with full-precision models. We focus on the very low-precision case where weights and activations are both quantized to $\pm$1, and note that stochastically quantizing weights in just one layer can sharply reduce the impact of iterative attacks. We observe that non-scaled binary neural networks exhibit a similar effect to the original defensive distillation procedure that led to gradient masking, and a false notion of security. We address this by conducting both black-box and white-box experiments with binary models that do not artificially mask gradients.

연구 동기 및 목표

• MNIST 및 CIFAR-10 데이터셋에서 이진화 신경망(BNNs)의 적대적 공격에 대한 강건성을 평가하기 위해.
• 특히 BNNs와 같은 저정밀도 모델이 기울기 마스킹 또는 정규화 효과로 인해 본질적으로 강건한가를 조사하기 위해.
• 화이트박스 및_BLK박스 위협 모델 모두에서 BNNs와 전체 정밀도 모델을 비교하기 위해.
• 확률적 양자화와 아키텍처 정규화를 조합한 방어 전략을 제안하고 검증하기 위해.

제안 방법

• 저자들은 가중치와 활성화를 ±1로 이진화한 이진 신경망(BNNs)을 훈련하며, 반복적 공격 기울기를 방해하기 위해 단일 합성곱 레이어에서 확률적 양자화를 적용한다.
• MNIST 및 CIFAR-10에서 FGSM, JSMA, CWL2를 사용해 화이트박스 및 블랙박스 적대적 공격을 수행하며, BNNs와 전체 정밀도 모델을 비교한다.
• 기울기 행동과 활성화 통계를 분석하며, BNNs가 큰 로짓 분산과 부드럽지 않은 기울기를 보이며 기울기 마스킹 현상을 유도하는 것을 관찰한다.
• 확률적 양자화는 각 공격 단계에서 모델 변동성을 도입하여, 반복적 공격을 일관된 방향이 없는 앙상블 탐색으로 전환시킨다.
• 저자들은 마이크로컨트롤러 배포에 적합한 효율적인 확률적 양자화를 구현하기 위해 가짜 난수 생성기를 사용한다.
• 다양한 아키텍처와 양자화 전략(스케일된 및 스케일되지 않은 BNNs 포함)을 비교하여 강건성 메커니즘을 분리한다.

실험 결과

연구 질문

• RQ1 신경망에서 가중치와 활성화의 이진화가 적대적 공격에 대한 강건성을 향상시키는가?
• RQ2 BNNs의 기울기 마스킹 효과가 반복적 적대적 공격의 성공에 얼마나 큰 영향을 미치는가?
• RQ3 단일 레이어에서의 가중치 확률적 양자화가 강력한 화이트박스 공격의 효과를 크게 감소시킬 수 있는가?
• RQ4 블랙박스 및 화이트박스 위협 모델 모두에서 BNNs의 강건성은 전체 정밀도 모델보다 어떻게 비교되는가?
• RQ5 이진 유닛에서 비롯되는 정규화가 적대적 예제에 대한 민감도를 낮추는 데 어떤 역할을 하는가?

주요 결과

• 단일 합성곱 레이어에서의 가중치 확률적 양자화는 각 단계에서 모델 변동성을 도입함으로써 반복적 공격의 성공률을 낮추며, 실제로 공격를 앙상블 모델 탐색으로 전환시킨다.
• MNIST에서 확률적 양자화된 BNN(S64+)는 CWL2 화이트박스 공격 조건에서 71±2%의 적대적 정확도를 기록했으며, 최고의 전체 정밀도 모델의 경우 뿐만 아니라 1.8±0.9%에 불과했다.
• BNNs는 두 가지 형태의 기울기 마스킹를 보이며, 하나는 큰 로짓 분산과 소프트맥스 함수 포화로 인한 것이고, 다른 하나는 이진 연산으로 인한 비연속적이고 비연속적인 기울기 때문이다.
• 확률적 양자화 없이 단순한 BNN은 이산적이고 고분산 기울기에서 공격의 비최적 행동을 보이며, 특히 JSMA 공격에 대해 타겟 공격에 강건함을 보였다.
• CIFAR-10에서 BNNs는 블랙박스 환경에서 전체 정밀도 모델보다 略적으로 더 강건한 것으로 나타났으며, 이는 이진 유닛에서 비롯된 개선된 정규화 효과 때문으로 추정된다.
• 이 연구는 BNNs가 FGSM과 같은 단일 단계 공격에 본질적으로 더 강건하지 않음을 확인했지만, 확률적 양자화가 강력한 반복적 공격에 대한 저항력을 크게 향상시킨다는 것을 입증했다.