[논문 리뷰] Countering Adversarial Images using Input Transformations

Chuan Guo, Mayank Rana외 2명|arXiv (Cornell University)|2017. 10. 31.

Adversarial Robustness in Machine Learning참고 문헌 24인용 수 436

한 줄 요약

이 논문은 입력 변환(자르기/리사이즈, 비트 깊이 감소, JPEG, 총 변동 최소화, 그리고 이미지 퀼링)을 통해 적대적 공격으로부터 이미지 분류기를 방어하는 것을 조사하며, TV 최소화와 퀼링이 특히 효과적이고, 모델이 변환된 이미지로 학습될 때 더욱 그러하다. 가장 강력한 방어는 회색 박스(gray-box)와 블랙 박스(black-box) 공격의 다수를 차단할 수 있다.

ABSTRACT

This paper investigates strategies that defend against adversarial-example attacks on image-classification systems by transforming the inputs before feeding them to the system. Specifically, we study applying image transformations such as bit-depth reduction, JPEG compression, total variance minimization, and image quilting before feeding the image to a convolutional network classifier. Our experiments on ImageNet show that total variance minimization and image quilting are very effective defenses in practice, in particular, when the network is trained on transformed images. The strength of those defenses lies in their non-differentiable nature and their inherent randomness, which makes it difficult for an adversary to circumvent the defenses. Our best defense eliminates 60% of strong gray-box and 90% of strong black-box attacks by a variety of major attack methods

연구 동기 및 목표

• 적대적 교란을 제거하여 입력 변환을 통해 견고한 이미지 분류를 촉진한다.
• 간단하고 미분 불가능하거나 무작위의 변환을 모델 독립적 방어로 평가한다.
• ImageNet에서 그레이 박스 및 블랙 박스 공격 설정에 대한 탄력성을 평가한다.
• 변환된 이미지로 학습한 경우 방어 효율이 어떻게 달라지는지 검토한다.

제안 방법

• 다섯 가지 이미지 변환(이미지 자르기-리스케일링, 비트 깊이 감소, JPEG 압축, 총 변이 최소화(TVM), 이미지 퀼링)을 평가한다.
• 방어 전략을 알고 있는 적대자에 대해 미분 불가능하거나 무작위 방어를 사용하여 저항성을 높인다.
• Robustness를 높이기 위해 학습 시 변환과 함께 변환을 결합하여 그레이 박스 및 블랙 박스 설정에서 테스트한다.
• 모델 공격으로 FGSM, 반복 FGSM, DeepFool, CW-L2를 포함시키고 정상화된 L2 차이로 성공 여부를 평가한다.
• TVM의 경우 분할 Bregman을 통해 총 변이와 재구성 오차를 최소화하는 볼록 최적화를 풀이한다.
• 이미지 퀼링은 깨끗한 패치 데이터베이스에서 패치를 뽑아 구성된 이미지를 만들어 적대적 교란을 깨뜨린다.

실험 결과

연구 질문

• RQ1 입력 변환 방어(자르기, 비트 깊이, JPEG, TVM, 퀼링)가 ImageNet에서 적대적 교란을 완화하는 데 얼마나 효과적인가?
• RQ2 변환된 이미지로 학습된 분류기가 그레이 박스 및 블랙 박스 공격에 대한 강건성을 향상시키는가?
• RQ3 이러한 방어는 다양한 공격 방법에 대해 앙상블 적대적 학습과 어떻게 비교되는가?
• RQ4 무작위성 및 비미분가능성이 이 방어의 강도에 어떤 역할을 하는가?
• RQ5 변환의 조합(및 모델 전이)이 공격된 아키텍처 전반에 걸쳐 균일한 보호를 제공할 수 있는가?

주요 결과

• 총 변이 최소화 및 이미지 퀼링은 가장 강력한 방어로 비미분 가능하고 무작위적이며 상당 부분의 적대적 교란을 제거한다.
• 그레이 박스 테스트에서 가장 강력한 방어는 약 60%의 강한 그레이 박스 공격과 약 90%의 강한 블랙 박스 공격을 주요 공격 방법들에 걸쳐 제거했다.
• 테스트 시점 무작위 자르기와 함께 자르는 경우, 변환된 적대적 이미지에서 40–60%의 올바른 분류를 얻어 교란에 대한 강건성을 시사한다.
• 변환된 이미지로 네트워크를 학습시키면 방어 효과가 크게 향상되며, 이미지 퀼링은 일부 설정에서 강력한 공격의 80–90%를 방어한다.
• 앙상블 방어 및 모델 전이를 통해 강건도가 1–3 포인트 증가할 수 있으나, 가장 큰 이익은 TVM 및 퀼링에서 나오며 특히 모델이 변환된 데이터로 학습되었을 때 그렇다.
• 앙상블 적대적 학습과 비교할 때 입력 변환 방어는 공격 유형 전반에 걸쳐 일반화가 더 잘되며, 특히 그레이 박스 설정에서 반복적 공격(예: DeepFool)에 강하다.