[논문 리뷰] ConAML: Constrained Adversarial Machine Learning for Cyber-Physical Systems

Jiangnan Li, Yingyuan Yang외 3명|arXiv (Cornell University)|2020. 03. 12.

Adversarial Robustness in Machine Learning참고 문헌 54인용 수 17

한 줄 요약

이 논문은 실제 물리적, 지식적, 시간적 제약 조건 하에서 사이버-물리 시스템(CPS)에 대해 적대적 예제를 생성하는 프레임워크인 제약 조건이 있는 적대적 기계학습(ConAML)을 제안한다. 선형 물리적 제약 조건을 최선의 노력 탐색 알고리즘에 통합함으로써, ConAML은 전력망과 정수 처리 시스템에서 기계학습 모델 성능을 떨어뜨리는 데 성공했으며, 최소한의 변형과 높은 회피율로도 암시적 조건에서도 효과를 발휘한다.

ABSTRACT

Recent research demonstrated that the superficially well-trained machine learning (ML) models are highly vulnerable to adversarial examples. As ML techniques are becoming a popular solution for cyber-physical systems (CPSs) applications in research literatures, the security of these applications is of concern. However, current studies on adversarial machine learning (AML) mainly focus on pure cyberspace domains. The risks the adversarial examples can bring to the CPS applications have not been well investigated. In particular, due to the distributed property of data sources and the inherent physical constraints imposed by CPSs, the widely-used threat models and the state-of-the-art AML algorithms in previous cyberspace research become infeasible. We study the potential vulnerabilities of ML applied in CPSs by proposing Constrained Adversarial Machine Learning (ConAML), which generates adversarial examples that satisfy the intrinsic constraints of the physical systems. We first summarize the difference between AML in CPSs and AML in existing cyberspace systems and propose a general threat model for ConAML. We then design a best-effort search algorithm to iteratively generate adversarial examples with linear physical constraints. We evaluate our algorithms with simulations of two typical CPSs, the power grids and the water treatment system. The results show that our ConAML algorithms can effectively generate adversarial examples which significantly decrease the performance of the ML models even under practical constraints.

연구 동기 및 목표

• 물리 법칙, 센서 샘플링 속도, 제한된 공격자 지식 등의 실제 제약 조건 하에서 기계학습 모델이 사이버-물리 시스템(CPS)에서 얼마나 취약한지 조사하기 위해.
• 기존의 적대적 기계학습(AML) 연구가 완전한 지식과 독립적인 특징을 가정하는 데 반해, CPS의 진정한 제약 조건을 모델링함으로써 이 격차를 메우기 위해.
• 선형 물리적 제약 조건을 충족시키면서도 탐지 메커니즘을 회피하는 실용적인 공격 프레임워크를 설계하기 위해.
• 실제 CPS 애플리케이션, 특히 전력망과 정수 처리 시스템에서 다양한 공격 시나리오(블랙박스, GRAY박스 등) 하에서 ConAML의 효과성을 평가하기 위해.
• 엄격한 제약 조건이 존재하더라도, 적대적 예제가 CPS 내 기반 기계학습 기반 침입 탐지 시스템의 성능을 상당히 떨어뜨릴 수 있음을 입증하기 위해.

제안 방법

• 물리적 제약 조건, 제한된 공격자 지식, 시간 제약 조건을 고려한 CPS에서의 적대적 기계학습에 대한 일반적인 위협 모델을 제안한다.
• 모델에 대한 전체 액세스 권한이 없더라도 적대적 예제를 생성할 수 있도록, 지식 제약 조건을 극복하기 위한 유니버설 적대적 측정 알고리즘을 도입한다.
• 선형 물리적 제약 조건 하에서 반복적으로 적대적 입력을 생성하는 최선의 노력 탐색 알고리즘을 설계하며, 제약 행렬 Φ를 사용해 시스템 법칙(예: 키르히호프 법칙)을 표현한다.
• 적대적 성공(오분류)과 제약 조건 이행 간의 균형을 맞추는 손실 함수를 활용하여 생성된 예제가 물리적으로 타당함을 보장한다.
• L2-노름을 최소화하고 침묵을 유지하면서도 허용 가능한 변형 공간을 탐색하기 위해 표본 기반 최적화 접근법을 사용한다.
• 실제 기계학습 모델과 시스템 제약 조건을 사용하여 두 가지 CPS 사례 연구를 평가한다: 전력망에서의 가짜 데이터 주입(FDIA)과 정수 처리 시스템에서의 이상 탐지.

실험 결과

연구 질문

• RQ1 물리적 제약 조건(예: 키르히호프 법칙)을 충족하면서도 기계학습 기반 침입 탐지 모델을 속이는 CPS에서의 적대적 예제를 생성할 수 있는가?
• RQ2 모델이나 손상되지 않은 센서 데이터에 접근할 수 없는 블랙박스 환경에서 ConAML의 효과는 어떠한가?
• RQ3 CPS에서 적대적 성공률, 변형 크기(L2-노름), 제약 조건 복잡도 간의 상호 상충 관계는 어떠한가?
• RQ4 다양한 공격 시나리오(화이트박스, GRAY박스, 블랙박스)는 실제 CPS에서의 적대적 예제의 탐지 가능성과 성능에 어떤 영향을 미치는가?
• RQ5 ConAML은 크기가 작으면서도 실질적인 CPS 환경에서 탐지 메커니즘을 효과적으로 회피할 수 있는 적대적 예제를 생성할 수 있는가?

주요 결과

• ConAML은 전력망 FDIA 모델에서 블랙박스 시나리오에서 최소한의 변형으로도 탐지 정확도를 0%까지 낮추는 적대적 예제를 성공적으로 생성했다.
• 블랙박스 공격에서 L2-노름 0.411로 1.14%의 탐지 정확도를 기록하여, 기준선(ерба2019real)보다 정확도와 악성 데이터 크기 측면에서 뛰어난 성능을 보였다.
• ConAML에서 주입된 악성 데이터의 크기가 최상의 공격자 시나리오보다 작았으며, 더 강력한 제약 조건 이행으로 인해 더 높은 침묵성(stealthiness)을 확보했다.
• 제약 강도(λ)가 증가함에 따라 탐지 확률이 증가했으며, 이는 더 복잡한 제약 조건이 공격 성공률를 낮추지만 현실성은 향상시킨다는 것을 확인했다.
• 최선의 노력 탐색 알고리즘은 제약 조건 복잡도에 따라 스케일링 가능했다: 더 많은 센서가 손상될수록 제약 행렬이 커져 계산 시간이 증가했으며(블랙박스에서 최대 451.8ms), 이는 예상된 바였다.
• 정수 처리 시스템 사례에서 ConAML은 L2 = 0.184의 최소한의 변형으로 회색박스 모드에서 88.4%의 공격 성공률를 달성하여 다양한 CPS 응용 분야에서의 효과성을 입증했다.