[논문 리뷰] DeepFool: a simple and accurate method to fool deep neural networks

Seyed-Mohsen Moosavi-Dezfooli, Alhussein Fawzi외 1명|arXiv (Cornell University)|2015. 11. 14.

Adversarial Robustness in Machine Learning참고 문헌 18인용 수 118

한 줄 요약

DeepFool은 높은 정확도와 효율성으로 딥 네URAL 네트워크를 속이는 최소의 적대적 편향을 계산하기 위한 반복적이고 기울기 기반 알고리즘을 제안한다. 선형 근사치를 사용해 입력을 결정 경계 쪽으로 반복적으로 투영함으로써, 이전 방법들인 빠른 기울기 부호 방법보다 더 작은, 더 신뢰할 수 있는 편향을 생성하여 강건성 평가 및 분류기의 내성 향상을 위한 훈련 데이터 증강에 기여한다.

ABSTRACT

State-of-the-art deep neural networks have achieved impressive results on many image classification tasks. However, these same architectures have been shown to be unstable to small, well sought, perturbations of the images. Despite the importance of this phenomenon, no effective methods have been proposed to accurately compute the robustness of state-of-the-art deep classifiers to such perturbations on large-scale datasets. In this paper, we fill this gap and propose the DeepFool algorithm to efficiently compute perturbations that fool deep networks, and thus reliably quantify the robustness of these classifiers. Extensive experimental results show that our approach outperforms recent methods in the task of computing adversarial perturbations and making classifiers more robust.

연구 동기 및 목표

• 대규모 딥 러닝 모델에서 적대적 편향을 계산하는 데 있어 정확하고 효율적인 방법의 부족을 해결하기 위해.
• 작고 눈에 띄지 않는 편향에 대해 최첨단 분류기의 강건성을 측정할 수 있는 신뢰할 수 있는 기준을 제공하기 위해.
• 최소 편향의 정밀한 추정이 적대적 훈련과 모델 일반화에 어떤 영향을 미치는지 조사하기 위해.
• 정확하지 않은 편향 추정이 모델의 강건성에 대한 잘못된 결론을 이끌 수 있음을 입증하기 위해.
• 정확한 적대적 데이터 증강을 통해 더 강건한 분류기를 개발할 수 있도록 하기 위해.

제안 방법

• DeepFool은 분류기의 국소 선형 근사치를 사용해 입력 이미지를 결정 경계 쪽으로 반복적으로 투영하는 반복 알고리즘을 사용한다.
• 각 반복 단계에서 진짜 클래스와 최상위 오분류 클래스 사이의 마진을 가장 빠르게 증가시키는 방향을 계산한다.
• 편향는 r ← r + α · (g / ||g||)로 갱신되며, 여기서 g는 입력에 대한 분류기 출력의 기울기이다.
• 예측이 변경될 때까지 알고리즘이 정지하여 최소 ℓ₂-노름 편향이 확보된다.
• 결정 경계가 국소적으로 선형적이라는 사실을 활용하여 최소 적대적 예제를 효율적이고 정확하게 근사할 수 있다.
• 분류기의 예측 클래스가 변경될 때까지 반복적으로 적용되어 최소 편향으로 수렴함을 보장한다.

실험 결과

연구 질문

• RQ1 딥 네URAL 네트워크를 위한 최소 적대적 편향을 계산하는 데 있어 더 정확하고 효율적인 방법을 개발할 수 있는가?
• RQ2 적대적 편향 추정의 정밀도가 분류기의 강건성 평가에 어떤 영향을 미치는가?
• RQ3 최소 적대적 예제를 사용한 미세조정은 굵은 근사치에 비해 모델의 강건성을 향상시키는가?
• RQ4 정확하지 않은 편향 방법이 적대적 강건성에 대한 잘못된 결론을 이끌어내는 정도는 어느 정도인가?
• RQ5 최소 편향을 적대적 훈련을 통해 일반화를 향상시키는 데 효과적으로 활용할 수 있는가?

주요 결과

• DeepFool은 빠른 기울기 부호 방법보다 훨씬 작은 ℓ₂-노름을 갖는 적대적 편향을 계산하여, LeNet(MNIST)에서 0.8%의 테스트 오차를 기록했고, 빠른 기울기 부호 방법은 4.4%의 오차를 기록했다.
• DeepFool이 생성한 적대적 예제를 사용한 미세조정은 강건성을 향상시켜 FC500-150-10(MNIST)에서 테스트 오차를 1.5%로 줄였고, 빠른 기울기 부호 방법을 사용한 미세조정은 오차를 4.9%로 증가시켰다.
• 미세조정 중 DeepFool 편향을 3배로 확대하면 강건성이 떨어지며, 이는 과도하게 편향된 예제가 모델 성능을 떨어뜨린다는 것을 확인한다.
• 빠른 기울기 부호 방법과 같은 정확하지 않은 편향 방법을 사용할 경우, 그림 9의 빨간색 곡선이 강건성 향상 효과를 과대평가함으로써 잘못된 결론을 이끌 수 있음을 보여준다.
• 이 방법은 강건성 평가에 신뢰할 수 있는 도구를 제공하며, CIFAR-10에서 NIN은 DeepFool을 사용할 경우 11.2%의 적대적 오차를 기록했고, 빠른 기울기 부호 방법을 사용할 경우 21.2%의 오차를 기록했다.
• DeepFool의 정확한 편향 추정은 적대적 불안정성에 대한 더 깊은 이해를 가능하게 하며 더 강건한 분류기 설계를 지원한다.