[논문 리뷰] Composite Adversarial Attacks

Xiaofeng Mao, Yuefeng Chen외 4명|arXiv (Cornell University)|2020. 12. 10.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

이 논문은 다목적 NSGA-II 유전 알고리즘을 사용하여 기본 적대적 공격 알고리즘과 그 하이퍼파rameter의 최적 순서를 자동으로 탐색하는 자동화된 방법인 복합 적대적 공격(CAA)을 제안한다. CAA는 $l_{\infty}$, $l_2$, 및 제약 없음 설정에서 11종의 다양한 방어책에 대해 최신 기준 성능을 달성하며, 10개의 최상위 공격보다 뛰어난 성공률을 기록하고 있으며, AutoAttack보다 6배 빠른 속도를 보인다.

ABSTRACT

Adversarial attack is a technique for deceiving Machine Learning (ML) models, which provides a way to evaluate the adversarial robustness. In practice, attack algorithms are artificially selected and tuned by human experts to break a ML system. However, manual selection of attackers tends to be sub-optimal, leading to a mistakenly assessment of model security. In this paper, a new procedure called Composite Adversarial Attack (CAA) is proposed for automatically searching the best combination of attack algorithms and their hyper-parameters from a candidate pool of extbf{32 base attackers}. We design a search space where attack policy is represented as an attacking sequence, i.e., the output of the previous attacker is used as the initialization input for successors. Multi-objective NSGA-II genetic algorithm is adopted for finding the strongest attack policy with minimum complexity. The experimental result shows CAA beats 10 top attackers on 11 diverse defenses with less elapsed time ( extbf{6 $ imes$ faster than AutoAttack}), and achieves the new state-of-the-art on $l_{\infty}$, $l_{2}$ and unrestricted adversarial attacks.

연구 동기 및 목표

• 현재 적대적 공격 선택 방식이 비최적적이고 수작업적이라는 점을 해결하여 모델의 강건성에 대한 잘못된 평가를 방지하기 위해.
• 공격 알고리즘과 하이퍼파rameter의 최강 조합을 자동으로 탐색하여 공격 효과성을 향상시키기 위해.
• 단일 공격, 앙상블, 복합 정책을 순차적 공격 조합을 통해 일반화된 공격 프레임워크로 표현할 수 있도록 하기 위해.
• 다양한 방어책, 특히 $l_{\infty}$, $l_2$, 및 제약 없음 편향을 포함하여 공격 성공률을 극대화하면서도 공격 시간을 최소화하기 위해.
• 학습된 공격 정책의 이동성(transferability)을 평가하여 특정 아키텍처에 국한되지 않는 일반화 능력을 확보하기 위해.

제안 방법

• CAA는 공격 정책을 기본 공격자들로 이루어진 순서어린 시퀀스로 표현하며, 한 공격자의 출력이 다음 공격자의 입력이 되어 적대적 예제의 점진적 개선이 가능하도록 한다.
• 검색 공간에는 32종의 기본 공격자들로 구성되며, 각각의 편향 크기 $\epsilon$ 및 반복 횟수 $t$와 같은 조정 가능한 하이퍼파rameter를 포함한다.
• 최대 공격 성공률과 최소 계산 복잡도(기울기 평가 횟수)를 동시에 최적화하기 위해 다목적 NSGA-II 유전 알고리즘을 사용한다.
• 이 방법은 대상 모델에 대한 직접적 공격 정책 탐색(CAA_dic)과 모델 간 일반화를 위한 이동 가능한 정책 학습(CAA_sub)을 모두 지원한다.
• 정체 공격(편향 없음)은 특수 케이스로 포함되어 있어, CAA는 단일 공격 및 앙상블도 복합 정책의 특수한 경우로 표현할 수 있다.
• 이전 공격자들이 결정 경계 근처의 예제를 생성함으로써 공격의 점진적 향상을 가능하게 하여, 후속 공격의 효과를 높인다.

실험 결과

연구 질문

• RQ1 공격 순서와 하이퍼파rameter에 대한 자동 탐색이 수작업으로 선택하거나 조정된 공격보다 성공률과 효율성 측면에서 뛰어나게 되는가?
• RQ2 이전 출력을 다음 입력으로 사용하는 순차적 공격 조합은 앙상블이나 단일 공격보다 더 강력한 적대적 예제를 생성하는가?
• RQ3 한 모델이나 데이터셋에서 학습된 공격 정책이 다른 모델과 방어책으로 효과적으로 이동 가능한가?
• RQ4 공격 순서의 길이(즉, 조합된 공격자의 수)가 전체 공격 성능에 어떤 영향을 미치는가?
• RQ5 무작위 탐색, 베이지안 최적화, 강화 학습, 또는 NSGA-II 중 어떤 최적화 전략이 공격 성공률와 탐색 비용 간의 최적 균형을 가장 잘 달성하는가?

주요 결과

• CAA는 $l_{\infty}$, $l_2$, 및 제약 없음 적대적 공격에서 11종의 다양한 방어책에 대해 최신 기준 성능을 달성하며, 10개의 최상위 공격 방법을 모두 능가한다.
• CAA는 AutoAttack보다 6배 빠르며, 훨씬 낮은 계산 비용으로 더 높은 공격 성공률를 기록한다.
• 정책 길이가 길어질수록 공격 성공률가 증가하며, 특히 제약 없음 설정에서는 길이 3를 초과하면 성능이 급격히 떨어져 순서 조합에 매우 민감한 것으로 나타났다.
• NSGA-II는 공격 성공률와 탐색 효율성 측면에서 무작위 탐색, 베이지안 최적화, 강화 학습보다 뛰어나며, 오직 3 GPU일 분량의 탐색 시간으로도 49.18%의 강건성 정확도를 달성했다.
• CIFAR-10에서 학습된 CAA_sub 정책는 ResNet, VGG, Inception 등 다양한 모델 아키텍처로의 이동성에서 뛰어난 성능을 보이며, 모델 및 작업 간 일반화 능력을 입증했다.
• 이전 공격에 의존하지 않고 순차적 조합을 통해 상호보완적인 메커니즘을 활용함으로써, 기울기 차단 위험을 효과적으로 완화한다.