[논문 리뷰] Defense of Word-level Adversarial Attacks via Random Substitution Encoding

Zhaoyang Wang, Hongtao Wang|arXiv (Cornell University)|2020. 05. 01.

Adversarial Robustness in Machine Learning참고 문헌 17인용 수 5

한 줄 요약

이 논문은 텍스트 분류 모델의 훈련 과정에 동적 랜덤 동의어 치환을 통합하여 단어 수준의 적대적 공격에 대한 강건성을 향상시키는 방식인 랜덤 치환 인코딩(RSE)을 제안한다. 훈련 및 추론 과정에서 입력을 무작위로 선택한 동의어로 인코딩함으로써 RSE는 공격 성공률를 크게 감소시키고 다양한 공격 모델 하에서 높은 정확도를 유지하며, 기존의 동의어 인코딩 방법(SEM)보다 강건성과 일반화 능력에서 뛰어나다.

ABSTRACT

The adversarial attacks against deep neural networks on computer vision tasks have spawned many new technologies that help protect models from avoiding false predictions. Recently, word-level adversarial attacks on deep models of Natural Language Processing (NLP) tasks have also demonstrated strong power, e.g., fooling a sentiment classification neural network to make wrong decisions. Unfortunately, few previous literatures have discussed the defense of such word-level synonym substitution based attacks since they are hard to be perceived and detected. In this paper, we shed light on this problem and propose a novel defense framework called Random Substitution Encoding (RSE), which introduces a random substitution encoder into the training process of original neural networks. Extensive experiments on text classification tasks demonstrate the effectiveness of our framework on defense of word-level adversarial attacks, under various base and attack models.

연구 동기 및 목표

• 텍스트 분류 모델에 대한 단어 수준의 적대적 공격에 효과적인 방어책이 부족한 문제를 해결하기 위해, 의미를 유지하면서도 동의어로 치환하는 공격에 특히 효과적인 방어 기법이 필요하다.
• 고정된 동의어 매핑에 국한되고 예측 불가능한 적대적 예시에 대한 일반화 능력이 떨어지는 기존의 방어 기법인 동의어 인코딩 방법(SEM)의 한계를 극복하기 위해, 공격 패tern에 대한 사전 지식이 필요 없이 동적으로 학습 가능한 방어 메커니즘을 개발한다.
• 다양한 텍스트 분류 작업, 기초 모델, 공격 방법에서 제안된 방어 기법의 효과성을 평가한다.
• 훈련 중 동의어 치환에 랜덤성을 도입함으로써 일반화 능력과 적대적 편향에 대한 저항력이 향상됨을 입증한다.

제안 방법

• 훈련 및 추론 과정에서 입력 시퀀스의 단어를 무작위로 선택한 동의어로 동적으로 치환하는 랜덤 치환 인코더(RSE)를 도입한다.
• 강건한 학습을 위해 훈련 중에 랜덤 동의어 치환 알고리즘을 적용하여 다양한 레이블이 부여된 이웃 예제를 생성한다.
• 입력 레이어와 임bedding 레이어 사이에 RSE 모듈을 융합하여, 학습 가능한 가변적 방어 레이어로 기능시킨다.
• RSE 처리된 데이터로 딥 신경망(예: Word-CNN, LSTM, Bi-LSTM)을 훈련시켜 적대적 입력에 대한 일반화 능력을 향상시킨다.
• 공격 비용을 평가하기 위해 치환 비율을 지표로 사용하며, 성공적인 공격에 필요한 단어 치환 수를 측정한다.
• 이중 단계 평가를 수행한다: 첫 번째로, 적대적 공격 전후의 모델 정확도를 평가하고, 두 번째로, 다양한 방어 기법 간의 공격 성공률 및 치환 비율을 비교한다.

실험 결과

연구 질문

• RQ1 훈련 중에 동적으로 랜덤한 동의어 치환을 적용함으로써 단어 수준의 적대적 공격에 대한 모델의 강건성이 향상되는가?
• RQ2 고정된 동의어 인코딩 방식인 SEM과 비교할 때 RSE는 방어 효과성과 일반화 능력에서 어떤 차이를 보이는가?
• RQ3 RSE는 공격 성공률를 어느 정도 감소시키고, 공격자가 성공하기 위해 필요한 치환 비율을 얼마나 증가시키는가?
• RQ4 RSE는 적대적 조건에서 강건성을 크게 향상시키면서도 정상 입력에 대해서는 높은 성능을 유지하는가?
• RQ5 RSE는 다양한 기초 모델(LSTM, Bi-LSTM, Word-CNN)과 데이터셋(IMDB, AG’s News, Yahoo! Answers)에서 어떻게 성능을 발휘하는가?

주요 결과

• PWWS 공격 하에서 RSE는 LSTM에서 평균 공격 후 정확도 82.2%, Bi-LSTM에서 88.3%, Word-CNN에서 89.9%를 기록하여 SEM을 뛰어넘는 성능을 보였다.
• RSE의 평균 정확도 이탈(공격 시 감소율)은 5–7.5%에 불과했고, SEM은 10–21.1%였으며, 이는 RSE가 훨씬 더 뛰어난 강건성을 지녔음을 시사한다.
• 대부분의 설정에서 RSE는 공격 성공률를 50% 이상 감소시켰으며, Yahoo! Answers에서 Word-CNN을 사용할 경우 최저 5.17%의 성공률를 기록했다.
• 대부분의 경우 RSE의 치환 비율은 20% 이상을 기록했으며, 기준선(NT) 및 적대적 훈련(AT)보다 훨씬 높아 공격 비용이 증가했다.
• AG’s News에서 Word-CNN을 사용할 경우, RSE는 SEM의 정확도 이탈 21.1%를 7.5%로 감소시켜 일반화 능력 향상을 입증했다.
• 정상 입력에 대해서도 RSE는 높은 성능을 유지했으며, 예를 들어 IMDB에서 LSTM을 사용할 경우 정확도 이탈이 4.8%에 그쳐, 정상 정확도에 미치는 영향은 최소한이었다.