[논문 리뷰] DAPAS : Denoising Autoencoder to Prevent Adversarial attack in Semantic Segmentation

Seung Ju Cho, Tae Joon Jun외 2명|arXiv (Cornell University)|2019. 08. 14.

Adversarial Robustness in Machine Learning참고 문헌 29인용 수 5

한 줄 요약

이 논문은 적대적 공격에 대응하기 위해 입력 이미지의 노이즈를 제거함으로써 의미 분할 모델의 성능을 보호하는 디노이징 오토인코더인 DAPAS를 제안한다. 고정밀도 노이즈 분포(Gaussian, Uniform, Bimodal)를 기반으로 훈련된 DAPAS는 깨끗한 이미지를 복원하여, 공격을 받은 경우 mIoU를 13%에서 68%로 향상시키며, 정상 데이터에서 원본 모델 성능의 97%를 유지한다.

ABSTRACT

Nowadays, Deep learning techniques show dramatic performance on computer vision area, and they even outperform human. But it is also vulnerable to some small perturbation called an adversarial attack. This is a problem combined with the safety of artificial intelligence, which has recently been studied a lot. These attacks have shown that they can fool models of image classification, semantic segmentation, and object detection. We point out this attack can be protected by denoise autoencoder, which is used for denoising the perturbation and restoring the original images. We experiment with various noise distributions and verify the effect of denoise autoencoder against adversarial attack in semantic segmentation.

연구 동기 및 목표

• 실세계 AI 안전성에서 중요한 격차인 의미 분할 모델에 대한 강건한 방어 메커니즘이 부족한 문제를 해결한다.
• 재훈련이 필요 없이 모델에 종속되지 않는 방어 기법을 개발한다.
• 다양한 노이즈 분포를 사용하여 적대적 편향을 시뮬레이션하고, 디노이징 오토인코더의 효과를 평가한다.
• 고해상도 의미 분할 작업에서 FGSM 및 I-FGSM 공격에 대한 강건성을 입증한다.
• 정상 이미지에서의 성능 저하를 최소화하면서 공격 조건에서의 복구 능력을 극대화한다.

제안 방법

• 작은, 인지하기 어려운 편향을 제거함으로써 적대적 입력에서 깨끗한 이미지를 복원하는 딥 디노이징 오토인코더를 훈련한다.
• 다양한 적대적 공격 패턴을 시뮬레이션하기 위해 훈련 중에 가우시안, 균일, 이중정규 분포 세 가지 노이즈 분포를 사용한다.
• 딥라베이블 V3+와 같은 분할 모델 이전에 디노이징 오토인코더를 프리프로세서로 적용하여 즉시 사용 가능한 방어 기법을 구현한다.
• 입력과 출력 이미지 간의 픽셀 단위 오차를 최소화하기 위해 재구성 손실을 최적화하여 오토인코더를 학습한다.
• 적대적 예제의 전이 가능성을 활용하여 다양한 노이즈 분포로 훈련함으로써 공격 유형 간 일반화 능력을 향상시킨다.
• PASCAL VOC 2012에서 FGSM 및 I-FGSM 공격의 다양한 ε 값에 대해 평균 교차율(mIoU)을 사용하여 성능을 평가한다.

실험 결과

연구 질문

• RQ1 디노이징 오토인코더는 FGSM 및 I-FGSM 적대적 공격 조건에서 의미 분할 성능을 효과적으로 복원할 수 있는가?
• RQ2 오토인코더 훈련 시 사용된 노이즈 분포(Gaussian, Uniform, Bimodal)의 선택이 방어 강건성에 어떤 영향을 미치는가?
• RQ3 DAPAS 방어 기법은 정상 이미지에서 원본 모델의 성능을 어느 정도 유지하는가?
• RQ4 이중 인코더 기반 방어 기법은 다양한 공격 유형과 편향 크기에 대해 일반화 가능한가?
• RQ5 분할 모델을 재훈련하지 않고도 즉시 사용 가능한 방어 기법으로 적용 가능한가?

주요 결과

• 정상 이미지에서 DAPAS는 원본 DeepLab V3+의 mIoU 97.4%를 유지한다(78.4 → 76.4), 성능 저하가 최소임을 나타낸다.
• ε = 0.032인 FGSM 공격 조건에서, 방어가 없을 경우 mIoU는 78.4에서 38.0으로 감소하지만, DAPAS를 통과하면 50.2로 복원되며 원래 성능의 64.0%를 확보한다.
• ε = 0.032인 I-FGSM 공격 조건에서, 방어가 없을 경우 mIoU는 10.3으로 감소하지만, DAPAS는 53.9로 복원하여 원래 성능의 68.7%를 확보한다.
• 오토인코더 훈련에서 균일 노이즈 분포가 가장 높은 강건성을 보이며, ε = 0.001일 때 mIoU 감소 비율 97.4%와 IoU 비율 64.8%를 기록한다.
• 공격 조건에서 이중정규 노이즈 분포가 가장 우수한 성능을 보이며, ε = 0.032일 때 공격에 대한 강건성 비율 68.7%를 확보하여 가우시안 및 균일 분포를 능가한다.
• 디노이징 오토인코더는 적대적 편향을 크게 감소시켜, ε = 0.008인 I-FGSM 공격 조건에서 공격에 대한 IoU 비율을 24.2%로 낮춰 강력한 방어 능력을 입증한다.