[논문 리뷰] Detecting and Diagnosing Adversarial Images with Class-Conditional Capsule Reconstructions

Yao Qin, Nicholas Frosst외 4명|arXiv (Cornell University)|2019. 07. 05.

Adversarial Robustness in Machine Learning참고 문헌 41인용 수 37

한 줄 요약

논문은 Capsule Networks (CapsNets)으로 클래스 조건부 재구성 메커니즘을 도입하여 적대적 이미지 탐지하고, CNN으로 확장하며 탐지를 우회하도록 설계된 재구성 공격을 연구한다. CapsNets는 MNIST, Fashion-MNIST, SVHN, CIFAR-10에서 CNN보다 탐지 성능이 우수하다.

ABSTRACT

Adversarial examples raise questions about whether neural network models are sensitive to the same visual features as humans. In this paper, we first detect adversarial examples or otherwise corrupted images based on a class-conditional reconstruction of the input. To specifically attack our detection mechanism, we propose the Reconstructive Attack which seeks both to cause a misclassification and a low reconstruction error. This reconstructive attack produces undetected adversarial examples but with much smaller success rate. Among all these attacks, we find that CapsNets always perform better than convolutional networks. Then, we diagnose the adversarial examples for CapsNets and find that the success of the reconstructive attack is highly related to the visual similarity between the source and target class. Additionally, the resulting perturbations can cause the input image to appear visually more like the target class and hence become non-adversarial. This suggests that CapsNets use features that are more aligned with human perception and have the potential to address the central issue raised by adversarial examples.

연구 동기 및 목표

• 적대적 예제의 견고한 탐지를 통해 분류 정확도 향상에만 의존하지 않는다.
• CapsNets의 클래스-조건부 재구성을 활용하여 자연 입력과 적대적 입력을 구분한다.
• 탐지 접근법을 CNN 아키텍처로 확장하여 효과를 비교한다.
• 탐지 메커니즘 자체를 겨냥하는 공격자(재구성 공격)의 영향을 조사한다.
• CapsNets의 특징이 인간 지각과 더 잘 일치하고 조작에 강인한 이유를 질적으로 분석한다.

제안 방법

• 승리한 Capsule의 포즈 매개변수로부터 입력을 재구성하는 클래스 조건부 재구성 네트워크를 사용한다.
• 예측된 클래스의 포즈 매개변수만 마스크하고 입력에 대한 클래스-특정 재구성을 생성하기 위해 전달한다.
• 입력과 해당 클래스 조건부 재구성 간의 재구성 거리를 계산하고 이 거리를 임계값으로 구분하여 적대적 입력을 표시한다.
• CNN+CR(클래스 조건부 재구성) 모델과 CNN+R 기반의 벤치마크를 도입하여 CNN에 접근법을 확장한다.
• 탐지를 우회하기 위해 분류 손실과 재구성 거리를 모두 최적화하는 재구성 공격을 설계한다.

실험 결과

연구 질문

• RQ1 다양한 데이터셋에서 표준 화이트박스 및 블랙박스 적대적 공격을 클래스-조건부 캡슐 재구성이 탐지할 수 있는가?
• RQ2 재구성 기반 탐지기가 CNN 아키텍처로 이전 가능한가, CapsNets는 탐지 성능에서 CNN과 어떻게 비교되는가?
• RQ3 방어를 인지한 재구성 공격이 CapsNets 대비 CNN 기반 모델에서 어떻게 성능을 발휘하는가?
• RQ4 적대적 실패 및 복구로부터 CapsNet 특징과 CNN 특징 간의 지각 일치에 대해 어떤 통찰을 얻을 수 있는가?
• RQ5 이 방법이 CIFAR-10과 같은 더 복잡한 데이터세트에 얼마나 확장되는가?

주요 결과

• CapsNets는 MNIST, Fashion-MNIST, SVHN에서 CNN 기반 모델보다 탐지 정확도와 공격 탐지 성능이 가장 높게 나타난다.
• 방어를 인지한 재구성 공격은 탐지되지 않는 적대적 예제를 생성할 수 있지만 성공률은 비재구성 공격보다 낮고, CapsNets은 여전히 더 나은 강건성을 보인다.
• CNN+CR은 CNN+R보다 탐지를 개선하여, 클래스 조건부 재구성이 CapsNets와 유사하게 강건성에 도움을 준다.
• Corrupted MNIST에서 세 모델 모두 분포 변화(distributional shifts)를 효과적으로 탐지하고, CapsNet이 특히 강력한 성능을 보인다.
• CIFAR-10에서 CapsNets의 클래스 조건부 재구성은 탐지 우위를 유지하고 공격의 전이 가능성이 감소하는 경향을 보인다.