[논문 리뷰] Detecting Adversarial Data by Probing Multiple Perturbations Using Expected Perturbation Score

Shuhai Zhang, Feng Liu외 5명|arXiv (Cornell University)|2023. 05. 25.

Anomaly Detection Techniques and Applications인용 수 4

한 줄 요약

이 논문은 샘플의 다중 노이즈 변형된 시각들에서의 점수를 집계함으로써 적대적 탐지 성능을 향상시키는 새로운 통계량인 기대 편향 점수(Expected Perturbation Score, EPS)을 제안한다. 사전 훈련된 확산 모델을 사용하여, 테스트 샘플과 자연 데이터 간의 최대 평균 차이(MMD)를 계산함으로써, 다양한 공격에 대해 ImageNet과 CIFAR-10에서 최고 성능(AUROC 최대 0.9997)을 달성하며, 추론 비용은 낮게 유지된다(각 이미지당 0.954초, T=20).

ABSTRACT

Adversarial detection aims to determine whether a given sample is an adversarial one based on the discrepancy between natural and adversarial distributions. Unfortunately, estimating or comparing two data distributions is extremely difficult, especially in high-dimension spaces. Recently, the gradient of log probability density (a.k.a., score) w.r.t. the sample is used as an alternative statistic to compute. However, we find that the score is sensitive in identifying adversarial samples due to insufficient information with one sample only. In this paper, we propose a new statistic called expected perturbation score (EPS), which is essentially the expected score of a sample after various perturbations. Specifically, to obtain adequate information regarding one sample, we perturb it by adding various noises to capture its multi-view observations. We theoretically prove that EPS is a proper statistic to compute the discrepancy between two samples under mild conditions. In practice, we can use a pre-trained diffusion model to estimate EPS for each sample. Last, we propose an EPS-based adversarial detection (EPS-AD) method, in which we develop EPS-based maximum mean discrepancy (MMD) as a metric to measure the discrepancy between the test sample and natural samples. We also prove that the EPS-based MMD between natural and adversarial samples is larger than that among natural samples. Extensive experiments show the superior adversarial detection performance of our EPS-AD.

연구 동기 및 목표

• 자연 데이터와 적대적 데이터 분포 간의 이질성을 식별하여 적대적 샘플 탐지를 해결하고자 한다.
• 단일 샘플 점수 함수의 민감성과 부족한 탐지 능력으로 인한 한계를 극복하고자 한다.
• 미리 보지 못한 공격 및 이식 가능한 공격에 효과적으로 대응할 수 있는 강건하고 일반화 능력이 뛰어난 탐지 방법을 개발하고자 한다.
• 편향된 샘플들로부터의 다중 시각 정보를 활용하여 통계적 신뢰도와 탐지 능력을 향상시키고자 한다.

제안 방법

• 다양한 노이즈 편향을 가한 샘플에 대한 기대 점수로 정의된 새로운 통계량인 기대 편향 점수(Expected Perturbation Score, EPS)를 제안한다.
• 고정된 타임스텝 T*에서 사전 훈련된 점수 기반 확산 모델을 사용하여 자연 샘플과 테스트 샘플 모두에 대해 EPS를 추정한다.
• 테스트 샘플과 자연 데이터 간의 분포 차이를 측정하기 위해 EPS 기반 최대 평균 차이(Maximum Mean Discrepancy, MMD)를 적용한다.
• 자연 이미지와 테스트 이미지를 모두 전방 확산 과정에 따라 다양한 노이즈 수준으로 동시에 편향시켜 다중 시각 관측을 생성한다.
• 이론적 분석을 통해, 미약한 조건 하에서 자연 샘플 간의 MMD보다 자연 샘플과 적대적 샘플 간의 MMD가 더 크다는 것을 증명한다.
• 저해상도 입력과 희소한 확산 타임스텝(예: T=20)을 선택하여 계산 비용을 줄이는 효율적인 추론 파이프라인을 설계한다.

실험 결과

연구 질문

• RQ1 다양한 편향에 의해 생성된 다중 시각 점수 통계량이 단일 샘플 점수 함수를 넘어서 적대적 탐지 성능을 향상시킬 수 있는가?
• RQ2 기대 편향 점수(Expected Perturbation Score, EPS)가 자연 데이터와 적대적 데이터 분포 간의 유효한 분류자로 이론적으로 타당한가?
• RQ3 기존 탐지기들과 비교해 볼 때 EPS-AD는 다양한, 미리 보지 못한, 이식 가능한 적대적 공격에 대해 어떻게 성능을 내는가?
• RQ4 해상도와 타임스텝 최적화를 통해 EPS-AD의 계산 비용을 줄일 수 있는가, 이로 인해 탐지 성능이 저하되지 않는가?
• RQ5 ImageNet에서 사전 훈련된 확산 모델을 사용하면, 강력한 일반화 능력을 갖춘 제로샷 또는 크로스 데이터셋 적대적 탐지가 가능한가?

주요 결과

• FGSM-ℓ₂ 공격(ε=4/255) 하에서 ImageNet에서 EPS-AD는 AUROC 0.9997을 기록하여 KD, LID, MD, LiBRe와 같은 기존 방법들을 모두 능가한다.
• 256×256 해상도와 T=20 조건에서 EPS-AD는 ImageNet에서 AUROC 0.9917을 달성하며, 이미지당 0.954초의 시간 소요로 높은 효율성을 보였다.
• CIFAR-10에서는 T=20일 때 AUROC 0.9995를 기록했고, 이미지당 0.043초의 시간 소요로 KD, LID, MD를 모두 능가했다.
• 크로스 데이터셋 평가에서 EPS-AD*(ImageNet에서 사전 훈련된 모델 사용)는 PGD 공격 하에서 CIFAR-10에서 AUROC 0.9987을 기록하여 강력한 일반화 능력을 입증했다.
• 낮은 타임스텝(T=10)과 해상도(128×128) 조건에서도 EPS-AD는 높은 성능을 유지했으며, ImageNet에서 추론 시간이 1초 이내로 유지되었다.
• 이론적 분석을 통해 EPS 기반 MMD가 자연 샘플 간의 MMD보다 자연 샘플과 적대적 샘플 간의 MMD가 더 크다는 것이 확인되어, 이는 탐지 지표로의 사용을 정당화한다.