[논문 리뷰] Combinatorial Attacks on Binarized Neural Networks

Elias B. Khalil, Amrita Gupta외 1명|arXiv (Cornell University)|2018. 10. 08.

Adversarial Robustness in Machine Learning인용 수 20

한 줄 요약

이 논문은 정수 프로그래밍과 반복적 타겟 전파를 사용하여 이진화 신경망(BNNs)을 대상으로 하는 새로운 조합적 공격 방법 IProp을 제안한다. 이는 FGSM과 같은 표준 기울기 기반 공격보다 더 강력한 적대적 예제를 생성하며, 특히 MNIST 및 Fashion-MNIST에서 뛰어난 성능을 보이며 정확한 MILP 해법의 한계를 초월해 확장된다.

ABSTRACT

Binarized Neural Networks (BNNs) have recently attracted significant interest due to their computational efficiency. Concurrently, it has been shown that neural networks may be overly sensitive to "attacks" - tiny adversarial changes in the input - which may be detrimental to their use in safety-critical domains. Designing attack algorithms that effectively fool trained models is a key step towards learning robust neural networks. The discrete, non-differentiable nature of BNNs, which distinguishes them from their full-precision counterparts, poses a challenge to gradient-based attacks. In this work, we study the problem of attacking a BNN through the lens of combinatorial and integer optimization. We propose a Mixed Integer Linear Programming (MILP) formulation of the problem. While exact and flexible, the MILP quickly becomes intractable as the network and perturbation space grow. To address this issue, we propose IProp, a decomposition-based algorithm that solves a sequence of much smaller MILP problems. Experimentally, we evaluate both proposed methods against the standard gradient-based attack (FGSM) on MNIST and Fashion-MNIST, and show that IProp performs favorably compared to FGSM, while scaling beyond the limits of the MILP.

연구 동기 및 목표

• 비차별화 가능한 BNNs에 대해 효과적인 적대적 예제를 생성하는 데 도전한다. 이는 기울기 기반 공격에 저항하기 때문이다.
• BNNs에 대한 적대적 공격에 대한 정확한 혼합정수선형계획(MILP) 공식화의 확장성 한계를 극복한다.
• BNNs의 이산적 구조를 활용하여 기울기 기반 방법보다 더 강력한 변형을 생성하는 확장 가능한 조합적 공격 알고리즘을 개발한다.
• 고품질의 적대적 예제를 생성함으로써 BNNs의 적대적 훈련을 향상시켜 모델의 강건성을 향상시킨다.

제안 방법

• BNNs의 조각별 상수 성질과 부호 함수 활성화 함수를 활용하여 적대적 공격 문제를 혼합정수선형계획(MILP)으로 공식화한다.
• 층별로 반복적으로 변형을 조정함으로써 타겟 전파를 수행하는 분해 기반 반복 알고리즘인 IProp을 사용한다. 이는 연속적인 MILP 부분문제를 통해 작동한다.
• IProp에서 적응형 스텝 사이즈 전략을 적용하여 초기 스텝 크기를 네트워크 너비의 5%로 설정하고, 5회 반복 동안 성능 향상이 없으면 매번 반으로 줄인다.
• IProp의 초기 해 품질 향상과 수렴 속도 향상을 위해 FGSM로 생성된 변형을 사용해 온전히 초기화한다.
• 타겟 공격 및 비타겟 공격을 모두 지원하고, 변형 크기 및 희소성 제약 조건을 포함하는 융통성 있는 MILP 공식화를 사용한다.
• BNNs의 이산적이고 비차별화 가능한 구조를 활용하여 기울기 의존을 피하는 조합 최적화 접근법을 설계한다.

실험 결과

연구 질문

• RQ1 작은 BNNs에 대해 혼합정수선형계획(MILP) 공식화가 전역 최적의 적대적 변형을 생성할 수 있는가?
• RQ2 기울기 기반 공격인 FGSM와 정확한 MILP 기반 공격 간의 적대적 성공률 및 변형 품질 측면에서 성능 비교는 어떠한가?
• RQ3 IProp과 같은 반복적이고 분해 기반 알고리즘이 MILP의 계산 한계를 초월하면서도 공격 강도를 유지하거나 향상시킬 수 있는가?
• RQ4 적응형 스텝 사이즈와 온전히 초기화하는 전략이 IProp이 적대적 예제를 생성하는 데 있어 효율성과 효과성을 향상시키는가?
• RQ5 BNNs의 이산적이고 비차별화 가능한 성질을 고려할 때, 조합 최적화 방법이 기울기 기반 공격을 얼마나 뛰어나게 성과를 낼 수 있는가?

주요 결과

• MILP 공식화는 작은 BNNs에 대해 전역 최적의 적대적 변형을 성공적으로 계산하며, MILP와 FGSM 간의 성능 격차가 뚜렷하게 드러났다.
• IProp은 항상 FGSM보다 더 나은 성능을 보이며, 목표 클래스로 예측을 뒤집는 데 더 높은 성공률을 달성한다.
• IProp은 MILP 해법의 한계를 효과적으로 초월하여 더 큰 네트워크와 더 높은 변형 예산에 대한 공격을 가능하게 한다.
• IProp의 적응형 스텝 사이즈 전략은 다양한 네트워크 크기와 변형 예산에서 고정 스텝 사이즈보다 성능이 유사하거나 뛰어나다.
• FGSM로 생성된 변형을 사용해 IProp을 온전히 초기화하면 공격 성공률이 크게 향상되며, 고품질의 초기 해의 가치를 입증한다.
• IProp의 반복적 구조 덕분에 공격 강도가 지속적으로 향상되며, 런타임이 몇 초가 지나면 FGSM를 뛰어넘는 성능을 보인다.