[논문 리뷰] AutoGAN: Robust Classifier Against Adversarial Attacks

Blerta Lindqvist, Shridatt Sugrim외 1명|arXiv (Cornell University)|2018. 12. 08.

Adversarial Robustness in Machine Learning참고 문헌 23인용 수 4

한 줄 요약

AutoGAN은 생성 모델로 자동에코더를 사용하고 분류 기능을 갖춘 판별자로 구성된 GAN 기반 분류기로, 적대적 공격에 대비하기 위해 적대적 훈련 데이터가 필요 없이 데이터의 다양체를 개선한다. 89%의 정확도를 달성하여 FGSM에 의한 훼손된 MNIST 이미지에서 기존 FGSM 방법의 1%를 뛰어넘으며, 훼손된 입력을 개선된 강건한 다양체로 투영함으로써 다양한 공격 유형과 노이즈 크기에서 뛰어난 일반화 성능을 보여준다.

ABSTRACT

Classifiers fail to classify correctly input images that have been purposefully and imperceptibly perturbed to cause misclassification. This susceptability has been shown to be consistent across classifiers, regardless of their type, architecture or parameters. Common defenses against adversarial attacks modify the classifer boundary by training on additional adversarial examples created in various ways. In this paper, we introduce AutoGAN, which counters adversarial attacks by enhancing the lower-dimensional manifold defined by the training data and by projecting perturbed data points onto it. AutoGAN mitigates the need for knowing the attack type and magnitude as well as the need for having adversarial samples of the attack. Our approach uses a Generative Adversarial Network (GAN) with an autoencoder generator and a discriminator that also serves as a classifier. We test AutoGAN against adversarial samples generated with state-of-the-art Fast Gradient Sign Method (FGSM) as well as samples generated with random Gaussian noise, both using the MNIST dataset. For different magnitudes of perturbation in training and testing, AutoGAN can surpass the accuracy of FGSM method by up to 25\% points on samples perturbed using FGSM. Without an augmented training dataset, AutoGAN achieves an accuracy of 89\% compared to 1\% achieved by FGSM method on FGSM testing adversarial samples.

연구 동기 및 목표

• 안전한 핵심 응용 분야에서 인식할 수 없는 적대적 편향에 취약한 딥 네URAL 네트워크의 취약점을 해결한다.
• 공격 유형, 크기 또는 적대적 훈련 샘플에 대한 사전 지식이 필요로 하는 기존 방어 기법의 한계를 극복한다.
• 데이터 증강 없이도 다양한 적대적 공격과 편향 수준에서 일반화 가능한 강건한 분류기를 개발한다.
• 생성자와 판별자 모두에 분류 논리를 통합함으로써 공격자에 대한 노출를 최소화하고 방어의 내성을 확보한다.

제안 방법

• 자기에코더를 생성자로 사용하는 GAN 아키텍처를 도입하여 기저 데이터 다양체를 재구성하고 강화한다.
• 입력을 분류하고 동시에 가짜 샘플과 잘못 분류된 적대적 점을 구분할 수 있도록 기능하는 판별자를 활용하며, 이는 진짜와 가짜를 식별하고 잘못된 예측을 식별하는 데 학습한다.
• 학습된 생성자를 통해 훼손된 테스트 이미지를 투영하여 개선된 청소년적 데이터 다양체로 매핑함으로써 적대적 영향을 감소시킨다.
• 적대적 예시를 추가로 증강하지 않고 자연 데이터만으로 모델을 종합적으로 훈련시켜 다양체 학습에 의존해 강건성을 확보한다.
• 자연 이미지가 낮은 차원의 다양체 위에 존재하고, 적대적 예시는 종종 다양체 갭이나 고곡률 영역에 위치한다는 기하학적 성질을 활용한다.
• 자기에코더의 복잡한 층을 통해 밀도가 높고 구조화된 표현을 강제하여 입력을 진짜 데이터 분포 쪽으로 투영함으로써 편향에 저항할 수 있도록 한다.

실험 결과

연구 질문

• RQ1 적대적 훈련 데이터가 필요 없이도 분류기가 적대적 공격에 강건해질 수 있는가?
• RQ2 GAN 기반 자동에코더를 통한 다양체 강화는 다양한 편향 크기에서 일반화 성능을 어떻게 향상시키는가?
• RQ3 생성자와 판별자의 공동 학습이 단일 구성 요소를 사용하는 경우에 비해 방어 강건성에 얼마나 기여하는가?
• RQ4 데이터 증강 없이 AutoGAN은 타겟 설정된 FGSM 공격과 무작위 가우시안 노이즈 편향에 대해 어떻게 성능을 내는가?
• RQ5 학습과 테스트 시 편향 크기가 다를 경우 모델이 높은 정확도를 유지할 수 있는가?

주요 결과

• AutoGAN은 훈련 시 적대적 샘플을 사용하지 않은 경우 FGSM에 의해 훼손된 MNIST 테스트 데이터에서 89%의 정확도를 달성하였고, 기준 FGSM 방법의 1%에 비해 뛰어난 성능을 보였다.
• 적대적 예시로 훈련 데이터를 증강한 경우, AutoGAN은 FGSM 정확도를 최대 25%포인트 향상시켰으며, 다양한 편향 수준에서 뛰어난 일반화 성능을 입증하였다.
• 적대적 데이터 증강 없이도 AutoGAN은 무작위 가우시안 노이즈 훼손 이미지에서 높은 성능을 유지하였으며, 기본 분류기 대비 최대 49%포인트의 정확도 향상을 기록하였다.
• 투영 실험 결과, AutoGAN은 원래의 데이터 다양체를 강화함을 확인하였으며, 투영된 훼손된 이미지가 더 이상 MNIST 숫자로 보이지 않음을 통해 효과적인 다양체 정규화가 이루어졌음을 입증하였다.
• AutoGAN의 판별자를 기본 분류기로 교체한 경우 성능이 열악해졌으며(예: 0.1 FGSM 크기에서 50% 정확도), 생성자와 판별자가 방어에 필수적임을 입증하였다.
• AutoGAN은 다양한 FGSM 및 가우시안 노이즈 편향 수준에서 높은 정확도를 유지함으로써 공격 유형과 크기 변화에 대해 강건한 방어 메커니즘이 됨을 입증하였다.