[논문 리뷰] Defense-VAE: A Fast and Accurate Defense against Adversarial Attacks

Xiang Li, Shihao Ji|arXiv (Cornell University)|2018. 12. 17.

Adversarial Robustness in Machine Learning참고 문헌 31인용 수 5

한 줄 요약

Defense-VAE는 단일 순방향 전파를 통해 노이즈를 제거함으로써 악성 입력에서 깨끗한 이미지를 복원하는 변동형 오토인코더(VAE)를 사용하는 빠르고 정확한 공격 방어 기법이다. 블랙박스 공격에서 Defense-GAN보다 30% 높은 방어 정확도를 달성하며, 50배 빠르게 작동하여 보안 민감도가 높은 시스템에서 실시간 구현이 가능하다.

ABSTRACT

Deep neural networks (DNNs) have been enormously successful across a variety of prediction tasks. However, recent research shows that DNNs are particularly vulnerable to adversarial attacks, which poses a serious threat to their applications in security-sensitive systems. In this paper, we propose a simple yet effective defense algorithm Defense-VAE that uses variational autoencoder (VAE) to purge adversarial perturbations from contaminated images. The proposed method is generic and can defend white-box and black-box attacks without the need of retraining the original CNN classifiers, and can further strengthen the defense by retraining CNN or end-to-end finetuning the whole pipeline. In addition, the proposed method is very efficient compared to the optimization-based alternatives, such as Defense-GAN, since no iterative optimization is needed for online prediction. Extensive experiments on MNIST, Fashion-MNIST, CelebA and CIFAR-10 demonstrate the superior defense accuracy of Defense-VAE compared to Defense-GAN, while being 50x faster than the latter. This makes Defense-VAE widely deployable in real-time security-sensitive systems. Our source code can be found at https://github.com/lxuniverse/defense-vae.

연구 동기 및 목표

• 작은, 인지하기 어려운 변형을 악용하는 공격으로 인해 심층 신경망(DNN)이 취약해지는 문제를 해결하기 위해.
• 실시간 보안 핵심 응용 분야에 적합한 고정확도 및 고성능 계산 효율성을 갖춘 방어 메커니즘을 개발하기 위해.
• 기존 분류기의 재학습이 필요 없이 화이트박스 및 블랙박스 공격 모두에 효과적인 일반화된 방어 기법을 만들기 위해.
• Defence-GAN과 같은 최적화 기반 기법을 개선하여, 런타임 지연을 줄이기 위해 반복적인 온라인 추론을 제거하기 위해.

제안 방법

• Defense-VAE는 사전 학습된 변동형 오토인코더(VAE)를 사용하여 입력을 잠재 공간으로 인코딩하고 다시 디코딩하여 노이즈 제거된 이미지를 복원한다.
• VAE 인코더는 악성 입력을 잠재 벡터 z로 매핑하고, 디코더는 학습된 사전 분포에서 샘플링하여 깨끗한 이미지를 재구성한다.
• 재구성 기법을 통해 미분 가능한 샘플링을 가능하게 하여 전체 파이프라인의 엔드 투 엔드 학습 및 정밀 조정이 가능하다.
• Defense-VAE는 독립적으로 사용할 수 있으며, 분류기 재학습 또는 전체 방어 파이프라인의 엔드 투 엔드 정밀 조정을 통해 향상시킬 수 있다.
• 이 방어 기법은 반복 최적화가 필요로 하는 Defense-GAN와 달리 단일 순방향 전파로 작동한다.
• 이 방법은 일반화된 방식이며, 추론 시 원래 분류기의 기울기나 아키텍처에 대한 액세스가 필요하지 않다.

실험 결과

연구 질문

• RQ1 반복 최적화가 필요 없이, VAE 기반 재구성 방법이 이미지에서 악성 편향을 효과적으로 제거할 수 있는가?
• RQ2 White-box 및 black-box 공격 모두에서 Defense-GAN 및 MagNet과 같은 최신 기법과 비교해 Defense-VAE의 방어 정확도는 어떻게 되는가?
• RQ3 엔드 투 엔드 정밀 조정 또는 분류기 재학습을 통해 Defense-VAE 파이프라인의 강건성은 얼마나 향상될 수 있는가?
• RQ4 특정 하이퍼파라미터에 따라 Defense-GAN과 같은 최적화 기반 방어 기법과 비교해 Defense-VAE의 추론 속도는 어떻게 되는가?
• RQ5 왜 Defense-VAE는 블랙박스 환경에서 Defense-GAN보다 훨씬 높은 재구성 품질과 정확도를 달성하는가?

주요 결과

• Fashion-MNIST에 대한 블랙박스 FGSM 공격에서 Defense-VAE는 Defense-GAN보다 약 30% 높은 방어 정확도를 기록한다.
• MNIST와 Fashion-MNIST에서 Defense-VAE는 모든 공격 유형에서 Defense-GAN, MagNet, 그리고 악성 훈련보다 높은 방어 정확도를 달성한다.
• Defense-VAE 파이프라인의 엔드 투 엔드 정밀 조정이 가장 높은 방어 정확도를 기록하며, 표준 Defense-VAE 및 재학습된 분류기 기반 베이스라인을 모두 초월한다.
• 기본 설정(L=200, R=10) 하에서 Defense-VAE는 Defense-GAN보다 약 50배 빠르며, 1000개의 이미지에 대한 재구성 시간은 9.03초이다.
• Defense-VAE의 속도는 하이퍼파라미터의 변화에 관계없이 일정하지만, Defense-GAN의 런타임은 반복 횟수와 재시작 수에 따라 선형적으로 증가한다.
• 시각적 분석 결과, Defense-VAE는 강력한 FGSM 공격(ε=0.1) 조건에서도 올바른 클래스 정보를 유지하면서 더 높은 품질의 재구성 결과를 생성한다.