[논문 리뷰] Defending Malware Classification Networks Against Adversarial Perturbations with Non-Negative Weight Restrictions

Alex Kouzemtchenko|arXiv (Cornell University)|2018. 06. 23.

Adversarial Robustness in Machine Learning참고 문헌 6인용 수 4

한 줄 요약

이 논문은 안드로이드 악성코드에서 불리안 특징을 조작하는 적대적 편향에 대비해 비음수 가중치 제약을 적용하여 악성코드 분류 신경망을 훈련시키는 방법을 제안한다. 경직된 비음수 가중치 또는 N1/N2 정규화를 통해 모델은 기울기 기반 공격로 인한 특징 오용에 완전히 저항하게 되며, 경직된 제약 조건을 통해 0%의 오분류율을 달성하고, 방어 정밀도 기반 기반 모델보다 뛰어난 성능을 보인다.

ABSTRACT

There is a growing body of literature showing that deep neural networks are vulnerable to adversarial input modification. Recently this work has been extended from image classification to malware classification over boolean features. In this paper we present several new methods for training restricted networks in this specific domain that are highly effective at preventing adversarial perturbations. We start with a fully adversarially resistant neural network that has hard non-negative weight restrictions and is equivalent to learning a monotonic boolean function and then attempt to relax the constraints to improve classifier accuracy.

연구 동기 및 목표

• 불리안 특징을 조작하는 적대적 편향으로 인해 악성코드 분류 모델이 악성 소프트웨어를 양성으로 잘못 분류하는 취약성을 해결하기 위해.
• 비음수 가중치 제약 조건이 기울기 기반 적대적 공격에 대해 악성코드 분류기를 완전히 저항하도록 할 수 있는지 조사하기 위해.
• 경직된 제약 조건을 완화하기 위한 정규화 기법을 통해 적대적 강건성과 분류 정확도 사이의 트레이드오프를 평가하기 위해.
• 기존 방어 기법인 방어 정밀도와 비교하여 비음수 가중치 제약 조건의 효과성을 평가하기 위해, 이는 기울기 마스킹에 의존할 수 있지만 진정된 강건성은 아닐 수 있다.

제안 방법

• 불리안 특징 학습의 단조성(모노톤성)을 보장하기 위해 DREBIN 데이터셋에서 경직된 비음수 가중치 제약 조건을 적용한 완전 연결 신경망을 ReLU 활성화 함수와 50% 드롭아웃을 사용하여 훈련한다.
• N1 및 N2 정규화 페널티를 구현하여, 각각 L1 및 L2 노름을 음수 가중치 값에만 적용함으로써 음수 가중치를 페널티 처리한다.
• 정규화 적용 위치를 변경하여, 합산 이전 활성화 값이나 활성화 값 자체에 페널티를 적용함으로써 작은 음수 가중치가 큰 음수 기여를 하지 못하도록 방지한다.
• 수렴 속도 향상과 훈련 안정성 향상을 위해 비음수 가중치 초기화(절댓값 기반 글로로트 정규분포)를 사용한다.
• 그로스 등이 제안한 적대적 공격 방법을 재현하기 위해, 분류기를 속이기 위해 맨페스트 기반 이진 특징만 활성화하고 기울기 기반 특징 선택을 수행한다.
• 오분류율(MR), 거짓 음성율(FNR), 거짓 양성율(FPR) 등의 지표를 사용하여, 경직된 제약 조건, 정규화, 정밀도 기반 방어 방법을 비교 평가한다.

실험 결과

연구 질문

• RQ1 경직된 비음수 가중치 제약 조건이 불리안 특징을 기반으로 훈련된 악성코드 분류 네트워크에서 적대적 편향을 완전히 방지할 수 있는가?
• RQ2 N1/N2 정규화는 하드 제약 조건 대비 얼마나 높은 분류 정확도를 유지하면서 강건성을 향상시키는가?
• RQ3 정규화를 활성화 값 또는 합산 이전 값에 적용하는 대안적 배치 방식이 표준 가중치 정규화보다 적대적 강건성을 향상시키는가?
• RQ4 방어 정밀도와 비교했을 때 비음수 가중치 제약 조건은 적대적 공격에 얼마나 잘 저항하는가? 그리고 성공이 진정된 강건성 때문인지, 아니면 기울기 마스킹 때문인가?
• RQ5 비음수 가중치 네트워크는 비단조성 불리안 규칙을 학습할 수 없음에도 불구하고 여전히 높은 정확도를 달성할 수 있는가?

주요 결과

• 경직된 비음수 가중치 제약 조건을 적용한 네트워크는 0%의 오분류율, 6.29%의 FNR, 0.75%의 FPR을 기록하여, 정밀도 기반 기반 모델을 포함한 모든 다른 방법보다 뛰어난 성능을 보였다.
• N1 정규화 비율 0.67을 적용한 모델는 하드 제약 조건 네트워크보다 성능이 열등했으며, 오분류율 18.86%, FNR 11.15%, FPR 1.71%를 기록하여 소프트 정규화가 덜 효과적임을 시사했다.
• N2 정규화는 적대적 저항성 향상에 의미 있는 개선을 보이지 않아, 음수 가중치에 대한 L2 페널티가 강건성 확보에 부족함을 시사했다.
• 활성화 값 또는 합산 이전 값에 정규화를 적용하는 대안적 배치 방식은 성능 향상이 없었으며, 이는 근본 원인이 가중치 값 자체에 있음을 시사했다.
• 고온도(예: 100)에서 방어 정밀도를 적용한 결과, 오분류율은 낮게(3.4%) 나왔지만, 95.3%의 적대적 예제가 정밀도 모델에서 여전히 잘못 분류됨을 확인하여 기울기 마스킹에 의존하는 것으로 밝혀졌다.
• 경직된 제약 조건 네트워크는 단조성 불리안 함수를 학습하는 것과 동일하며, 향후 단조성 원리를 활용한 강건한 악성코드 탐지 기법 개발에 잠재력이 있다.