[논문 리뷰] Denoising Diffusion Probabilistic Models as a Defense against Adversarial Attacks

Lars Ankile, Anna Midgley외 1명|arXiv (Cornell University)|2023. 01. 17.

Cell Image Analysis TechniquesBiochemistry, Genetics and Molecular Biology인용 수 3

한 줄 요약

이 논문은 노이즈 추가 및 역방향 노이즈 제거를 통해 악성 예측 예측값을 정제함으로써 악성 공격에 대한 방어 수단으로 노이즈 제거 확률 모델(Denoising Diffusion Probabilistic Models, DDPMs)을 사용하는 것을 제안한다. PatchCamelyon 데이터셋에서 원본 모델의 정확도의 최대 88%를 달성하며, 일반 모델 및 기준 방어 방법보다 뛰어난 성능을 보이며, 낮은 노이즈 수준 $ t^* = 0.04 $에서 단지 40단계만으로도 빠른 추론을 가능하게 한다.

ABSTRACT

Neural Networks are infamously sensitive to small perturbations in their inputs, making them vulnerable to adversarial attacks. This project evaluates the performance of Denoising Diffusion Probabilistic Models (DDPM) as a purification technique to defend against adversarial attacks. This works by adding noise to an adversarial example before removing it through the reverse process of the diffusion model. We evaluate the approach on the PatchCamelyon data set for histopathologic scans of lymph node sections and find an improvement of the robust accuracy by up to 88\% of the original model's accuracy, constituting a considerable improvement over the vanilla model and our baselines. The project code is located at https://github.com/ankile/Adversarial-Diffusion.

연구 동기 및 목표

• 의료 영상 분류에서 악성 공격에 대한 일반 목적의 방어 수단으로 DDPM의 효과성을 평가하는 것.
• 작은 편향이 메타스테틱 조직과 같은 임상적으로 중요한 병리학적 특징을 나타낼 수 있는 바이오메디컬 AI에서의 강건성 문제를 해결하는 것.
• 모델 특화 재학습이 필요 없이 확산 모델의 생성 능력을 활용해 악성 입력을 정제함으로써 기존 방어 방법을 향상시키는 것.
• 낮은 노이즈 수준($ t^* = 0.04 $)과 단지 40단계만을 사용해 추론 시간을 단축시켜 실세계 적용에 실용적인 방법을 제공하는 것.
• 확산 기반 정제가 민감한 의료 데이터셋에서 높은 표준 정확도를 유지하면서도 강건 정확도를 크게 향상시킬 수 있음을 보여주는 것.

제안 방법

• 학습된 노이즈 스케줄 $ \beta_t $ 와 누적 노이즈 수준 $ \bar{\alpha}_t $ 를 사용해 악성 입력에 고정된 노이즈를 추가하기 위해 정방향 확산 과정을 적용한다.
• 신경망 $ \mu_\theta(x_t, t) $ 로 매개변수화된 역방향 확산 과정을 사용해 노이즈가 첨가된 입력에서 원본 이미지를 재구성한다.
• 모델이 정제 과정을 학습해 청소된 데이터 분포를 복원할 수 있도록 Evidence Lower Bound(ELBO)를 최대화하도록 DDPM을 훈련시킨다.
• 훈련된 DDPM을 분류기(예: ResNet101) 이전의 전처리기로 통합하여, 분류기의 미세조정 없이 추론 시점에 정제를 적용한다.
• 빠른 추론을 위해 낮은 노이즈 수준 $ t^* = 0.04 $ 와 단지 40단계의 역방향 단계만을 사용하여 이전 연구 대비 계산 비용을 감소시킨다.
• 평가를 위해 투영된 경사 하강법을 사용해 적응형 $ \ell_\infty $-제한된 악성 공격을 적용한다.

실험 결과

연구 질문

• RQ1 작은 편향이 진단적으로 의미 있는 경우가 많은 의료 영상 환경에서 DDPM이 악성 예측값을 효과적으로 정제할 수 있는가?
• RQ2 PatchCamelyon 데이터셋에서 DDPM 기반 방어의 강건 정확도는 일반 모델 및 악성 훈련 기반 기준 방어와 비교해 어떻게 되는가?
• RQ3 낮은 노이즈, 낮은 단계의 확산 과정이 강건성을 향상시키면서도 높은 표준 정확도를 유지할 수 있는 정도는 어느 정도인가?
• RQ4 확산 모델이 원래 분포에 충실하게 이미지를 재구성할 수 있는 능력이 악성 입력에 대한 일반화 능력 향상에 어떻게 기여하는가?
• RQ5 모델 독립적인 성격을 지녀 재학습이 필요 없이도 새로운 공격 유형에 일반화될 수 있는가?

주요 결과

• DDPM 기반 방어는 PatchCamelyon 데이터셋에서 원본 모델의 표준 정확도의 최대 88%에 이르는 강건 정확도를 확보하며, 일반 모델 및 기준 방어 방법보다 뚜렷이 뛰어난 성능을 보였다.
• 정제 후 높은 표준 정확도(일반 모델과 유사)를 확보하여, 확산 과정이 진단적으로 관련 있는 특징을 유지하고 있음을 시사한다.
• 적응형 $ \ell_\infty $ 공격 하에서 강건 정확도가 75%에 도달하여, 데이터의 민감도에도 불구하고 뛰어난 방어 성능을 입증했다.
• 낮은 노이즈 수준 $ t^* = 0.04 $ 를 사용해 단지 40단계의 역방향 단계만으로도 빠른 추론이 가능해져, 이전의 확산 기반 방어 대비 계산 효율성이 뛰어났다.
• 모델 특화 적응이 필요 없었으며, 확산 모델의 확률적이고 분포 인식 능력 덕분에 새로운 공격에 대해 강력한 일반화 성능을 보였다.
• 악성 훈련보다 성능이 뛰어나며, 특히 민감한 PatchCamelyon 데이터셋에서 모델 붕괴 및 높은 계산 비용 문제를 악성 훈련이 겪는 것과 대비해 효과적이었다.