[논문 리뷰] Boosting Adversarial Transferability through Enhanced Momentum

Xiaosen Wang, Jiadong Lin외 3명|arXiv (Cornell University)|2021. 03. 19.

Adversarial Robustness in Machine Learning참고 문헌 35인용 수 27

한 줄 요약

저자들은 EMI-FGSM을 제안합니다. 이는 현재 점 주변의 그래디언트를 샘플링하는 강화된 모멘텀 반복 FGSM으로, 적대적 전달성을 향상시키고, 기존의 모멘텀 기반 방법에 비해 큰 이득을 얻으며 입력 변환 및 앙상블 공격에서 강력한 성능을 보입니다.

ABSTRACT

Deep learning models are known to be vulnerable to adversarial examples crafted by adding human-imperceptible perturbations on benign images. Many existing adversarial attack methods have achieved great white-box attack performance, but exhibit low transferability when attacking other models. Various momentum iterative gradient-based methods are shown to be effective to improve the adversarial transferability. In what follows, we propose an enhanced momentum iterative gradient-based method to further enhance the adversarial transferability. Specifically, instead of only accumulating the gradient during the iterative process, we additionally accumulate the average gradient of the data points sampled in the gradient direction of the previous iteration so as to stabilize the update direction and escape from poor local maxima. Extensive experiments on the standard ImageNet dataset demonstrate that our method could improve the adversarial transferability of momentum-based methods by a large margin of 11.1% on average. Moreover, by incorporating with various input transformation methods, the adversarial transferability could be further improved significantly. We also attack several extra advanced defense models under the ensemble-model setting, and the enhancements are remarkable with at least 7.8% on average.

연구 동기 및 목표

• 보이지 않는 모델에 대한 화이트박스 적대적 공격의 전달성이 제한되는 문제를 동기부여하고 해결한다.
• 업데이트를 안정화하기 위해 이웃 샘플들로부터 그래디언트를 집계하는 강화된 모멘텀 기반 공격을 개발한다.
• 향상된 모멘텀을 입력 변환과 앙상블 모델 전략과 통합하여 전달성을 높인다.
• ImageNet에서의 효과를 입증하고, 고급 방어 모델들을 포함한 경우를 분석하며 매개변수 선택을 분석한다.

제안 방법

• EMI-FGSM을 도입한다. 이는 반복(iterations) 동안 그래디언트를 누적하고 이전 반복의 그래디언트 방향으로 N개의 샘플링된 인근 데이터 포인트에서 그래디언트를 집계한다.
• bar{x}_t^{adv}[i] = x_t^{adv} + c_i * bar{g}_{t-1}로 정의하고, 이 bar{x}_t^{adv}[i]에서의 그래디언트의 평균으로 bar{g}_t를 계산한다.
• 발 momentum를 g_t = mu * g_{t-1} + bar{g}_t / ||bar{g}_t||_1로 업데이트하고 x_{t+1}^{adv} = x_t^{adv} + alpha * sign(g_t)을 적용한다.
• EMI-DTS를 EMI-FGSM과 입력 변환 앙상블(DIM, TIM, SIM, 및 이들의 결합 DTS)을 결합하여 제안한다.
• 샘플링 전략(선형, 균등, 가우시안)과 ETA 같은 샘플 간격 및 샘플 수 N와 같은 매개변수의 영향(ablations)을 탐구한다.

실험 결과

연구 질문

• RQ1 gradient-based adversarial attacks를 모델 간에 더 잘 전달되도록 기존의 모멘텀 기반 방법을 넘어 어떻게 만들 수 있을까?
• RQ2 이전 반복의 그래디언트 방향에서 이웃한 여러 데이터 포인트를 샘플링하면 전달성이 향상될까?
• RQ3 EMI-FGSM을 입력 변환 및 앙상블-모델 공격과 효과적으로 통합하여 방어에 대한 블랙박스 성능을 향상시킬 수 있을까?

주요 결과

• EMI-FGSM은 화이트박스 및 블랙박스 설정 모두에서 MI-FGSM과 NI-FGSM보다 우수하며, NI-FGSM 대비 평균 전달성 이득이 약 11.1%이다.
• EMI-FGSM은 입력 변환(DIM, TIM, SIM) 및 앙상블-모델 공격과 결합될 때 전달성 이득이 크게 증가하며, 화이트박스 및 블랙박스 성능이 모두 향상된다.
• EMI-DTS는 앙상블-모델 설정 하에서 일곱 개의 고급 방어 모델에 대해 평균 공격 성공률 86.6%를 달성하며, 이전 방법보다 7.8% 향상시켰다.
• PI-FGSM 대비 EMI-FGSM은 일반적으로 학습된 모델에서 10.5–12.5%, adversarially trained 모델에서 4.4–5.4% 더 높은 전달성을 제공한다.
• ablation 연구에 따르면 선형 샘플링이 약간 최상이며, 일반적인 설정으로는 N=11 샘플, eta=7을 사용한다.