[논문 리뷰] Combating Adversarial Misspellings with Robust Word Recognition

Danish Pruthi, Bhuwan Dhingra외 1명|arXiv (Cornell University)|2019. 05. 27.

Topic Modeling참고 문헌 29인용 수 26

한 줄 요약

이 논문은 텍스트 분류에서의 적대적 오타를 완화하기 위해 RNN 기반의 반문자 단어 인식 모델을 사용하는 작업에 종속되지 않는 방어 기법을 제안한다. 분류 이전에 손상된 단어를 인식함으로써, 이 방법은 일반 모델 대비 상대적으로 32% 오류율을 감소시키고 절대 오차율 3.3%를 감소시키며, 1자리 공격 하에서 BERT 정확도를 45.8%에서 75%로 복원한다. 이는 모델 민감도와 백오프 전략과의 강한 연관성을 보인다.

ABSTRACT

To combat adversarial spelling mistakes, we propose placing a word recognition model in front of the downstream classifier. Our word recognition models build upon the RNN semi-character architecture, introducing several new backoff strategies for handling rare and unseen words. Trained to recognize words corrupted by random adds, drops, swaps, and keyboard mistakes, our method achieves 32% relative (and 3.3% absolute) error reduction over the vanilla semi-character model. Notably, our pipeline confers robustness on the downstream classifier, outperforming both adversarial training and off-the-shelf spell checkers. Against a BERT model fine-tuned for sentiment analysis, a single adversarially-chosen character attack lowers accuracy from 90.3% to 45.8%. Our defense restores accuracy to 75%. Surprisingly, better word recognition does not always entail greater robustness. Our analysis reveals that robustness also depends upon a quantity that we denote the sensitivity.

연구 동기 및 목표

• 최신 NLP 모델이 문자 교환, 삭제, 추가와 같은 최소한의 적대적 철자 오류에 취약함을 다루기 위해.
• 문자 수준 및 워드피ece 모델이 단어 수준 모델보다 더 세밀한 적대적 제어를 가능하게 하므로, 이에 비해 더 취약함을 입증하기 위해.
• 하류 분류 이전에 의미적 통합성을 복원하기 위해 단어 인식 모델을 사용하는 방어 기법을 제안하기 위해.
• 적대적 공격에 대한 강건성을 결정하는 데 있어 단어 오류율과 모델 민감도 사이의 상호관계를 조사하기 위해.
• 모델 민감도를 핵심 요소로 정량화하고 제어함으로써 강건한 단어 인식 방어 기법을 설계하는 데 기여하기 위해.

제안 방법

• 도메인 특화 텍스트로 훈련된 RNN 반문자 아키텍처 기반의 단어 인식 모델을 도입하여 오타 단어를 인식한다.
• OoV(unknown) 예측을 처리하기 위해 여러 백오프 전략—패assing-through, 배경, 중립—을 구현한다.
• 단어 인식기 모델을 프리프로세서로 사용하여, 하류 분류기로 입력되기 전에 손상된 단어를 가능성이 높은 올바른 형태로 대체한다.
• 실제 공격에 대한 강건성을 향상시키기 위해, 합성 적대적 변형(추가, 삭제, 교환)으로 단어 인식기를 훈련시킨다.
• 모델이 변형에 대해 내보내는 고유 예측 수를 측정하는 민감도 지표를 정의하고 계산하며, 낮은 값일수록 더 높은 강건성을 의미한다.
• 다양한 모델 유형(BiLSTM, BERT)과 공격 유형(1- 및 2자리 편집)에 대해 방어 기법을 평가하며, 적대적 훈련과 철자 검사기와 비교한다.

실험 결과

연구 질문

• RQ1 적대적 문자 수준의 변형은 현대 NLP 모델의 성능에 어떻게 영향을 미치는가, 특히 문자 또는 워드피ece 입력을 사용하는 모델에 대해 어떻게?
• RQ2 문자 수준 및 워드피ece 모델이 더 세밀한 표현을 제공함에도 불구하고, 왜 단어 수준 모델보다 적대적 공격에 더 취약한가?
• RQ3 단어 인식 모델이 텍스트 분류에서의 적대적 오타에 효과적인 작업에 종속되지 않는 방어 수단이 될 수 있는가?
• RQ4 단어 오류율과 모델 민감도 사이의 관계는 단어 인식 방어의 강건성을 결정하는 데 어떤 영향을 미치는가?
• RQ5 다양한 백오프 전략(패assing-through, 배경, 중립)은 적대적 공격 하에서 정확도와 강건성에 어떤 영향을 미치는가?

주요 결과

• 단일 적대적 선택 1자리 교환으로 BERT 감성 분류기 정확도가 90.3%에서 45.8%로 감소하여, 최소한의 변형에 매우 취약함을 입증하였다.
• 제안된 단어 인식 방어 기법은 1자리 교환 공격 하에서 BERT 정확도를 75.0%로 복원하였으며, 적대적 훈련(69.2% 정확도)보다 뚜렷이 뛰어났다.
• 중립 백오프 전략이 가장 낮은 민감도(11.3)를 기록했고, 적대적 환경에서 패assing-through 및 배경 유형보다 뛰어난 강건성을 확보하였다.
• 강건성은 오직 단어 오류율에 의해 결정되지 않으며, 낮은 민감도와 중간 수준의 오류율을 가진 모델가 가장 높은 방어 성능을 제공한다.
• 민감도 지표는 변형 하에 모델이 내보내는 고유 예측 수를 효과적으로 정량화하며, 낮은 값일수록 공격 표면이 작아진다.
• 인간 평가 결과, 50개의 적대적으로 수정된 리뷰 중 48개가 감성 유지됨을 확인하여, 방어 기법이 의미적 통합성을 유지함을 입증하였다.