[논문 리뷰] Boosting Adversarial Transferability via Fusing Logits of Top-1 Decomposed Feature

Juanjuan Weng, Zhiming Luo외 3명|arXiv (Cornell University)|2023. 05. 02.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

이 논문은 기존 로그릿과 상위 1개의 특이값 분해된 특징을 융합하여 적대적 전이성(transferability)을 향상시키는 새로운 SVD 기반 특징 수준 공격 방법을 제안한다. 중간층 특징에서 가장 일반화 능력이 뛰어나고 주의 집중이 잘 되는 성분을 활용함으로써, 중요도 추정에 추가 계산이 필요 없이 다양한 모델과 방어 기법에 걸쳐 공격 성공률를 높이며, 최소한의 학습 비용으로 최신 기술 수준의 성능을 달성한다.

ABSTRACT

Recent research has shown that Deep Neural Networks (DNNs) are highly vulnerable to adversarial samples, which are highly transferable and can be used to attack other unknown black-box models. To improve the transferability of adversarial samples, several feature-based adversarial attack methods have been proposed to disrupt neuron activation in the middle layers. However, current state-of-the-art feature-based attack methods typically require additional computation costs for estimating the importance of neurons. To address this challenge, we propose a Singular Value Decomposition (SVD)-based feature-level attack method. Our approach is inspired by the discovery that eigenvectors associated with the larger singular values decomposed from the middle layer features exhibit superior generalization and attention properties. Specifically, we conduct the attack by retaining the decomposed Top-1 singular value-associated feature for computing the output logits, which are then combined with the original logits to optimize adversarial examples. Our extensive experimental results verify the effectiveness of our proposed method, which can be easily integrated into various baselines to significantly enhance the transferability of adversarial samples for disturbing normally trained CNNs and advanced defense strategies. The source code of this study is available at https://github.com/WJJLL/SVD-SSA

연구 동기 및 목표

• 비용이 많이 들지 않는 중요도 추정에 의존하지 않고 블랙박스 공격 환경에서 적대적 예제의 전이성을 향상시키는 것.
• 중간층 특징의 상위 1개 특이값 분해(SVD)가 적대적 강건성과 일반화 능력을 향상시킬 수 있는지 탐색하는 것.
• SVD 유도 특징을 손실 최적화 과정에 통합하는 경량이고 효율적인 공격 방법을 개발하는 것.
• 표준 모델과 적대적 훈련된 모델, 강력한 방어 메커니즘을 포함한 다양한 모델에서 방법의 효과성을 검증하는 것.
• 가장 큰 특이값 성분이 일반화 가능한, 주의 집중과 관련된 특징을 포착하여 모델 간 전이 능력을 향상시킬 수 있는지 입증하는 것.

제안 방법

• 제안된 방법은 사전 모델의 중간층 특징맵에 특이값 분해(SVD)를 적용하여 상위 1개 특이값과 그에 연관된 왼쪽 및 오른쪽 특이벡터를 추출한다.
• 이를 바탕으로 상위 1개 SVD 성분만을 사용해 수정된 특징 표현을 구성하고, 이를 바탕으로 출력 로그릿을 계산한다.
• 이 SVD 기반 로그릿은 적대적 예제 최적화 과정에서 가중치 파라미터 β를 통해 원본 모델 로그릿과 융합된다.
• 공격 목적 함수는 표준 교차 엔트로피 손실과 원본 및 SVD 기반 로그릿의 가중합을 조합하여 노이즈 생성을 이끌어낸다.
• 비용이 많이 드는 기울기 기반 중요도 추정을 피하기 위해, 본질적으로 가장 일반화 능력이 뛰어나고 주의 집중과 관련된 특징을 포착하는 주요 SVD 성분을 직접 사용한다.
• 이 방법은 즉시 적용이 가능하며 기존 공격 기반 기법과 호환되며, 추가 계산 비용이 최소한이다.

실험 결과

연구 질문

• RQ1 중간층 특징의 상위 1개 특이값 성분이 다양한 모델 간에 적대적 전이성을 향상시킬 수 있는가?
• RQ2 SVD 기반 로그릿을 원본 로그릿과 융합함으로써 계산 비용 증가 없이 공격 성공률를 향상시킬 수 있는가?
• RQ3 기존 특징 기반 공격 기법과 비교해 본 방법의 전이성과 효율성은 어떠한가?
• RQ4 공격 성능 측면에서 원본 로그릿과 SVD 기반 로그릿 간의 최적의 균형은 무엇인가?
• RQ5 SVD 기반 특징 융합 방법이 다양한 모델에서 주의 메커니즘을 효과적으로 방해할 수 있는가?

주요 결과

• 제안된 방법은 원본 모델로 Inception-V3를 사용했을 때 99.8%의 공격 성공률를 기록하여, FIA(98.3%) 및 NAA(98.1%)와 같은 최신 기술 수준의 방법들을 능가한다.
• 적대적 훈련된 모델에 대해서는 Inc-v3-adv에서 64.2%의 성공률, Inc-v3-ens3에서는 61.2%의 성공률를 기록하여, FIA(53.3% 및 36.1%) 및 NAA(61.5% 및 50.5%)를 모두 초월한다.
• 로그릿 융합에 최적의 초모수 β는 약 0.5이며, 이때 공격 성공률가 최고에 도달하여 원본 및 SVD 특징을 균형 있게 활용하고 있음을 시사한다.
• 상위 1개 SVD 특징을 사용할 경우 전이성이 크게 향상되지만, k > 2인 상위 k개 특징을 사용할 경우 성능이 떨어지므로, 유일하게 주요 성분만이 유익함을 시사한다.
• 2080Ti GPU에서의 학습 시간은 1029초로, FIA(7081초), NAA(7163초), FDA(1421초)보다도 효율적이다.
• Eigen-CAM를 통한 시각화 결과, SVD를 적용한 적대적 예제가 진짜 객체에서 사소한 영역으로 주의를 이탈시키는 것으로 확인되어, 더 강력한 특징 수준의 방해 작용을 함을 입증한다.