[논문 리뷰] Customizing an Adversarial Example Generator with Class-Conditional GANs

Shih-Hong Tsai|arXiv (Cornell University)|2018. 06. 27.

Adversarial Robustness in Machine Learning참고 문헌 21인용 수 4

한 줄 요약

이 논문은 기존의 정제된 데이터에 의존하지 않고, 클래스 조건부 GAN을 사용하여 처음부터 본질적인 적대적 예제를 생성하는 비교행 기반의 방법인 Adaptive GAN을 제안한다. 이는 64.20%의 공격 성공률(MNIST에서)과 61.90%의 공격 성공률(CIFAR10에서)을 달성하여, 비교행 기반 방법을 초월해 적대적 예제의 다양성을 확장하는 GAN 기반 생성 방식의 잠재력을 입증한다.

ABSTRACT

Adversarial examples are intentionally crafted data with the purpose of deceiving neural networks into misclassification. When we talk about strategies to create such examples, we usually refer to perturbation-based methods that fabricate adversarial examples by applying invisible perturbations onto normal data. The resulting data reserve their visual appearance to human observers, yet can be totally unrecognizable to DNN models, which in turn leads to completely misleading predictions. In this paper, however, we consider crafting adversarial examples from existing data as a limitation to example diversity. We propose a non-perturbation-based framework that generates native adversarial examples from class-conditional generative adversarial networks.As such, the generated data will not resemble any existing data and thus expand example diversity, raising the difficulty in adversarial defense. We then extend this framework to pre-trained conditional GANs, in which we turn an existing generator into an "adversarial-example generator". We conduct experiments on our approach for MNIST and CIFAR10 datasets and have satisfactory results, showing that this approach can be a potential alternative to previous attack strategies.

연구 동기 및 목표

• 기존의 정제된 데이터를 수정하는 방식에 의존하는 비교행 기반 방법에 의해 생성되는 적대적 예제의 다양성이 제한되어 있는 문제를 해결한다.
• 적대적 예제가 실제 데이터와 시각적으로 유사해야 한다는 제약을 극복하기 위해, 완전히 새로운 본질적인 적대적 예제를 생성한다.
• 초기 학습부터 재학습하지 않고도 사전 학습된 조건부 GAN을 적대적 예제 생성기로 변환할 수 있는 프레임워크를 개발한다.
• 전통적인 비교행 기반 공격에 비해 성능을 뛰어나거나 동등하게 유지하는 효과적인 적대적 예제를 생성할 수 있음을 입증한다.

제안 방법

• 특정 타겟 클래스 조건에 따라 이미지를 생성하는 클래스 조건부 GAN을 학습시켜, 기존의 실제 이미지를 수정하지 않고도 직접적으로 적대적 예제를 생성한다.
• 타겟 분류기의 오분류를 유도하도록 생성기 손실를 수정함으로써, 생성기를 실제로 적대적 예제 생성기로 전환한다.
• 사전 학습된 조건부 GAN(예: ACGAN 및 DCGAN)을 대상으로 적응형 재학습을 수행하여, 최소한의 학습 오버헤드로 생성기를 적대적 생성에 맞게 미세조정한다.
• 배치 정규화, 리elu, 레이블 스무딩, 미니배치 식별 기법 등을 통합하여 GAN 학습의 안정성과 이미지 품질을 향상시킨다.
• 학습된 생성기를 활용해 타겟 공격을 위한 적대적 예제를 생성하며, 이는 생성된 이미지가 타겟 클래스로 잘못 분류되도록 최적화된다.
• PGD 및 FGSM과 같은 표준 벤치마크를 사용해 MNIST와 CIFAR10에서 공격 성공률을 평가하고, 비교행 기반 기준선과의 성능을 비교한다.

실험 결과

연구 질문

• RQ1 비교행 기반 방법에 의존하지 않고도, 클래스 조건부 GAN과 같은 생성 모델을 효과적으로 활용해 기존 데이터를 수정하지 않고 본질적인 적대적 예제를 생성할 수 있는가?
• RQ2 제안된 Adaptive GAN 프레임워크가 비교행 기반 방법의 제약을 초월해 적대적 예제의 부분공간을 확장할 수 있는가?
• RQ3 Adaptive GAN은 MNIST 및 CIFAR10과 같은 표준 데이터셋에서 최신의 비교행 기반 공격에 비해 높은 공격 성공률을 달성하는 데 얼마나 효과적인가?
• RQ4 최소한의 재학습으로 사전 학습된 조건부 GAN을 적대적 예제 생성기로 변환할 수 있는 정도는 어느 정도인가?
• RQ5 비교행 기반 방법과 비교했을 때, GAN으로 생성된 적대적 예제의 이미지 품질과 시각적 현실감의 상호 교환 관계는 어떠한가?

주요 결과

• Adaptive GAN은 MNIST 데이터셋에서 64.20%의 공격 성공률를 기록하여, FGSM 및 PGD를 포함한 모든 테스트된 비교행 기반 방법을 능가했다.
• CIFAR10의 로버스트니스 챌린지에서 Adaptive GAN은 61.90%의 공격 성공률를 달성하여, 20단계 PGD 및 FGSM을 포함한 모든 베이스라인 비교행 기반 방법을 뛰어넘었다.
• 단지 2 에포크의 적응형 재학습만으로도 사전 학습된 조건부 GAN을 적대적 예제 생성기로 성공적으로 변환하여, 학습 시간을 크게 단축시켰다.
• 비교행 기반 방법에 비해 낮은 시각적 품질을 보였음에도 불구하고, 생성된 적대적 예제는 여전히 효과적이었으며, 이는 본 방법의 실용적 타당성을 시사한다.
• Adaptive GAN의 공격 성공률는 비교행 크기의 제약을 받지 않았다. 완전히 새로운 이미지를 생성하기 때문이며, 이는 강건한 분류기에 대해 높은 성능을 기록할 수 있었던 이유일 수 있다.
• 이 프레임워크는 GAN 기반 생성 방식이 실제 데이터와 구조적으로 다를 수 있는 적대적 예제를 생성할 수 있음을 입증하며, 적대적 예제의 부분공간을 확장시킬 수 있음을 보여준다.