[논문 리뷰] Defending against Whitebox Adversarial Attacks via Randomized Discretization

Yuchen Zhang, Percy Liang|arXiv (Cornell University)|2019. 03. 25.

Adversarial Robustness in Machine Learning참고 문헌 39인용 수 27

한 줄 요약

이 논문은 이미지 픽셀을 군집 중심으로 이산화하고 입력에 정규분포 노이즈를 주입함으로써 분류 전에 입력 분포를 무작위화하는 화이트박스 방어 기법인 Randomized Discretization(RandDisc)을 제안한다. 이는 강력한 PGD 공격에 대해 ImageNet에서 최고 수준의 내성 확보를 달성하며, 적대적 훈련 모델과 NIPS 2017 경쟁에서 상위 성능을 낸 방어 기법들보다 평균적으로 최소 18%, 최악의 경우 35% 이상 뛰어난 성능을 보였다.

ABSTRACT

Adversarial perturbations dramatically decrease the accuracy of state-of-the-art image classifiers. In this paper, we propose and analyze a simple and computationally efficient defense strategy: inject random Gaussian noise, discretize each pixel, and then feed the result into any pre-trained classifier. Theoretically, we show that our randomized discretization strategy reduces the KL divergence between original and adversarial inputs, leading to a lower bound on the classification accuracy of any classifier against any (potentially whitebox) $\\ell_\\infty$-bounded adversarial attack. Empirically, we evaluate our defense on adversarial examples generated by a strong iterative PGD attack. On ImageNet, our defense is more robust than adversarially-trained networks and the winning defenses of the NIPS 2017 Adversarial Attacks & Defenses competition.

연구 동기 및 목표

• 사전 훈련된 모델을 재훈련할 필요 없이 화이트박스 적대적 공격에 대응하는 방어 기법을 개발하는 것.
• KL 발산 감소를 통한 정보이론적 기반의 내성 확보 인증을 제공하는 것.
• ImageNet과 같은 대규모 데이터셋에서 강력한 반복적 공격(예: PGD)에 대한 방어 기법의 내성 확보를 실증적으로 평가하는 것.
• 스토케스틱 방어 기법이 ImageNet에서 적대적 훈련 모델보다 뛰어난 내성 확보를 달성할 수 있음을 보여주는 것.
• 모델 재훈련 없이도 높은 정상 이미지 정확도를 유지하면서 무작위 이산화가 내성 확보를 향상시킬 수 있음을 보여주는 것.

제안 방법

• 입력 이미지의 각 픽셀에 평균이 0인 가우시안 노이즈를 주입하여 입력 분포를 무작위화하는 것.
• 색상 공간(예: Lab 공간) 내의 근접한 군집 중심으로 각 픽셀을 매핑하는 군집 기반 이산화 단계를 적용하는 것.
• 재훈련 없이도 사전 훈련된 분류기의 입력으로 랜덤라이즈된 이산화된 이미지를 제공하는 것.
• 비미분 가능인 RandDisc 방어 기법을 평가하기 위해, 유사한 기법인 Randomized Mixture(RandMix)를 사용하여 적대적 예제를 생성하는 것.
• 이론적 분석을 통해 RandDisc가 정상 입력과 적대적 입력 간의 KL 발산을 감소시켜 내성 정확도의 하한을 제공함을 보여주는 것.
• 반복적 PGD 공격을 사용하여 방어 기법을 평가하고, MNIST 및 ImageNet에서 적대적 훈련 모델과 다른 변환 기반 방어 기법들과 비교하는 것.

실험 결과

연구 질문

• RQ1 재훈련 없이도 ImageNet에서 화이트박스 적대적 공격에 강력한 내성 확보를 달성할 수 있는가?
• RQ2 무작위 이산화가 정상 입력과 적대적 입력 간의 KL 발산을 감소시켜 내성 확보를 인증하는 데 기여하는가?
• RQ3 강력한 PGD 공격 하에서 RandDisc는 적대적 훈련 모델과 NIPS 2017 경쟁에서 상위 성능을 낸 방어 기법들과 비교해 어떻게 성능을 내는가?
• RQ4 왜 다른 스토케스틱 방어 기법들이 실패하는 MNIST에서는 RandDisc가 내성 확보를 향상시키나, ImageNet에서는 그렇지 않은가?
• RQ5 스토케스틱 방어 기법이 고해상도 이미지인 ImageNet에 대해 비어 있지 않은 내성 정확도 인증 범위를 제공할 수 있는가?

주요 결과

• ImageNet에서 ε = 1, 2, 4일 때 각각 62.9%, 54.2%, 39.5%의 정확도를 기록하며, 적대적 훈련된 InceptionResNet 모델을 능가했다.
• NIPS 2017 경쟁에서 상위 3개의 공격(ε = 8)에 대해 평균적으로 최소 18%, 최악의 경우 35% 이상 뛰어난 성능을 보였다.
• MNIST에서는 랜덤라이즈된 CNN를 사용한 RandDisc가 ε = 0.1일 때 94.4%의 내성 정확도를 기록했고, 수정되지 않은 모델은 12.0%에 그쳤다.
• RandDisc의 내성 정확도는 고해상도 이미지에서 누적 KL 발산 상한으로 인해 매우 작은 노이즈(ε < 0.1)에 대해서만 비어 있지 않은 인증 범위를 제공했다.
• ImageNet에서 RandDisc는 적대적 훈련 모델보다 더 높은 내성 확보를 유지했으며, 이는 후자의 경우 강력한 반복적 공격에 대해 덜 효과적일 수 있음을 시사한다.
• RandDisc(88.6%)와 RandMix(92.7%)의 정상 이미지 정확도는 기반 분류기(97.1%)보다 낮았으며, 이는 내성 확보와 정상 정확도 사이의 상충 관계를 나타낸다.