[논문 리뷰] Denoising Dictionary Learning Against Adversarial Perturbations

John Mitro, Derek Bridge외 1명|arXiv (Cornell University)|2018. 01. 07.

Adversarial Robustness in Machine Learning인용 수 3

한 줄 요약

이 논문은 딥 네ural 네트워크에서 적대적 편향에 대응하기 위한 노이즈 제거 사전 학습(Denoising Dictionary Learning, DDL)을 제안한다. 적대적으로 훼손된 입력에서 청소된 이미지를 복원하기 위해 부족하지 않은 과잉완성 사전을 학습함으로써, DDL은 MLP, CNN, ResNet, HRNN와 같은 다양한 아키텍처에서 MNIST 및 CIFAR10에 대해 높은 신뢰도의 정확한 예측을 달성하여 강건성을 크게 향상시킨다.

ABSTRACT

We propose denoising dictionary learning (DDL), a simple yet effective technique as a protection measure against adversarial perturbations. We examined denoising dictionary learning on MNIST and CIFAR10 perturbed under two different perturbation techniques, fast gradient sign (FGSM) and jacobian saliency maps (JSMA). We evaluated it against five different deep neural networks (DNN) representing the building blocks of most recent architectures indicating a successive progression of model complexity of each other. We show that each model tends to capture different representations based on their architecture. For each model we recorded its accuracy both on the perturbed test data previously misclassified with high confidence and on the denoised one after the reconstruction using dictionary learning. The reconstruction quality of each data point is assessed by means of PSNR (Peak Signal to Noise Ratio) and Structure Similarity Index (SSI). We show that after applying (DDL) the reconstruction of the original data point from a noisy

연구 동기 및 목표

• 딥 네ural 네트워크가 고신뢰도의 잘못된 분류를 유도하는 적대적 편향에 대한 취약성을 해결하기 위해.
• 원본 및 변환된 데이터를 저장할 필요 없이도 강건하고 유연하며 역행 가능한 방어 메커니즘을 개발하기 위해.
• 다양한 복잡도와 구조를 가진 다양한 DNN 아키텍처에서 사전 학습의 효과를 평가하기 위해.
• PSNR 및 SSIM을 사용한 재구성 품질 평가를 통해 노이즈 제거 후 의미적 및 구조적 충실도를 확보하기 위해.
• 학습용 청소된 데이터에 접근할 필요 없이, 강하게 훼손된 테스트 샘플에서 청소된 입력을 복원할 수 있음을 입증하기 위해.

제안 방법

• 노이즈 제거 사전 학습(DDL)은 학습된 과잉완성 사전를 사용하여 적대적으로 훼손된 입력에서 청소된 이미지를 복원하는 데 적용된다.
• 각 훼손된 이미지를 사전 원소들의 흩어진 선형 조합으로 표현하기 위해 흩어진 코딩 문제를 해결한다.
• 재구성은 훼손된 입력을 학습된 사전에 투영하고, 흩어진 계수를 사용하여 재구성함으로써 이루어진다.
• 사전는 청소된 데이터만으로 학습되며, 노이즈가 있는 훈련 예제가 필요 없이도 훼손된 테스트 샘플로 일반화할 수 있다.
• 이 방법은 아키텍처에 종속되지 않으며, 기초 DNN을 수정하지 않고도 어떤 지도 학습 파이프라인에나 통합할 수 있다.
• 재구성 품질은 PSNR 및 SSIM을 사용하여 평가되어 노이즈 제거 후 구조적 및 신호 충실도를 보장한다.

실험 결과

연구 질문

• RQ1 노이즈 제거 사전 학습은 FGSM 및 JSMA 공격 하에서 적대적으로 훼손된 입력에서 청소된 이미지를 효과적으로 복원할 수 있는가?
• RQ2 DDL은 다양한 복잡도와 구조를 가진 다양한 딥 네럴 네트워크 아키텍처에서 어떻게 성능을 발휘하는가?
• RQ3 기본 모델 대비 DDL이 훼손된 테스트 데이터에서 분류 정확도를 얼마나 향상시키는가?
• RQ4 PSNR 및 SSIM로 측정된 재구성 품질은 모델의 강건성 향상과 어떻게 관련이 있는가?
• RQ5 DDL은 원본 및 변환된 데이터 저장이 필요 없이도 민첩하고, 역행 가능하며, 계산적으로 효율적인 방어 메커니즘으로서 기능할 수 있는가?

주요 결과

• DDL을 적용한 후, FGSM로 훼손된 MNIST의 분류 정확도는 12.80%에서 82%로 향상되었고, CIFAR10은 15.06%에서 68.29%로 상승했다.
• JSMA로 훼손된 데이터에 대해, MNIST의 정확도는 53.02%에서 60%로, CIFAR10은 14.59%에서 67.23%로 증가했다.
• 자동에코더 및 ResNet 모델에서 가장 뚜렷한 성과를 보였으며, FGSM-MNIST에서 각각 29.45% 및 23.01%의 정확도 향상을 기록했다.
• 재구성 품질은 매우 높았으며, PSNR 및 SSIM 값은 노이즈 제거된 이미지의 강력한 구조적 및 신호 충실도를 나타냈다.
• 작은 이미지 세부 사항에 민감한 모델, 예를 들어 ResNet은 편향에 더 취약했지만 DDL 덕분에 크게 이득을 봤다.
• 강한 편향 조건에서도 청소된 입력을 성공적으로 복원하여, 노이즈 제거 후 높은 신뢰도의 정확한 예측을 가능케 했다.