[논문 리뷰] Dimensionality Reduction as a Defense against Evasion Attacks on Machine Learning Classifiers.

Arjun Nitin Bhagoji, Daniel Cullina외 1명|arXiv (Cornell University)|2017. 04. 09.

Adversarial Robustness in Machine Learning인용 수 105

한 줄 요약

이 논문은 기계 학습 분류기의 회피 공격에 대비하여 차원 축소를 위한 주성분 분석(PCA)을 사용하는 것을 제안한다. 분류 이전에 입력 데이터의 차원을 줄임으로써, 악성 공격자가 성공하기 위한 계산 비용을 증가시켜 다양한 모델과 응용 분야(이미지 및 악성코드 분류 등)에서 강건성을 향상시킨다.

ABSTRACT

We propose the use of dimensionality reduction as a defense against evasion attacks on ML classifiers. We present and investigate a strategy for incorporating dimensionality reduction via Principal Component Analysis to enhance the resilience of machine learning, targeting both the classification and the training phase. We empirically evaluate and demonstrate the feasibility of dimensionality reduction of data as a defense mechanism against evasion attacks using multiple real-world datasets. Our key findings are that the defenses are (i) effective against strategic evasion attacks in the literature, increasing the resources required by an adversary for a successful attack by a factor of about two, (ii) applicable across a range of ML classifiers, including Support Vector Machines and Deep Neural Networks, and (iii) generalizable to multiple application domains, including image classification, malware classification, and human activity classification.

연구 동기 및 목표

• 기계 학습 모델에 대한 전략적 회피 공격에 대비해 차원 축소가 실질적인 방어 수단이 될 수 있는지 조사하기 위해.
• PCA가 악성 공격자가 성공적인 회피 공격을 위해 공격하는 데 드는 어려움과 자원 요구량을 증가시키는지 평가하기 위해.
• SVM 및 딥 네트워크를 포함한 다양한 기계 학습 분류기 간의 방어의 일반화 능력을 평가하기 위해.
• 이미지 분류, 악성코드 탐지, 인간 활동 인식과 같은 다양한 실제 응용 분야에서 이 방어 수단의 적용 가능성을 테스트하기 위해.
• 방어 수단이 성능을 유지하면서도 회피 공격에 대한 저항력을 향상시키는지 확인하기 위해.

제안 방법

• 기계 학습 분류기에 입력하기 전에 입력 데이터의 차원을 줄이기 위해 주성분 분석(PCA)을 적용하기 위해.
• 일致한 차원 축소를 보장하기 위해 분류 파이프라인의 학습 및 추론 단계에 모두 PCA를 통합하기 위해.
• 고차원 입력 데이터를 가장 분류에 유용한 특징을 유지하는 저차원 잠재 공간으로 투영하기 위해.
• 작은 목표 지향적 변형이 사용되는 회피 공격에 더 강건하게 만들면서도 분류기의 결정 경계를 유지하기 위해.
• 특히 변형 크기와 검색 노력 측면에서 악성 공격 성공 비용 증가 정도를 측정하여 방어 수단의 효과를 평가하기 위해.
• 다양한 데이터셋과 분류기에서 방어 수단의 강건성과 전이 가능성 평가를 위해 적용하기 위해.

실험 결과

연구 질문

• RQ1 PCA를 통한 차원 축소가 기계 학습 분류기에 대한 회피 공격 비용을 효과적으로 증가시킬 수 있는가?
• RQ2 SVM 및 딥 네트워크와 같은 다양한 유형의 분류기에서 이 방어 수단의 성능은 어떻게 되는가?
• RQ3 이미지, 악성코드, 활동 분류와 같은 다양한 응용 도메인으로 일반화되는가?
• RQ4 원래 분류기의 정확도와 성능을 어느 정도 유지하는가?
• RQ5 성공적인 회피 공격에 필요한 최소 변형 크기는 어떻게 영향을 받는가?

주요 결과

• PCA 기반 방어 수단은 악성 공격자가 성공적인 회피 공격를 수행하기 위해 요구하는 자원을 약 두 배로 증가시킨다.
• 문헌에 보고된 전략적 회피 공격에 대해 효과적이며, 다양한 공격 시나리오에서 강건성을 입증한다.
• SVM과 딥 네트워크를 포함한 다양한 기계 학습 분류기에 적용 가능한데, 이는 전통적인 모델과도 잘 어울린다.
• 이미지 분류, 악성코드 탐지, 인간 활동 인식과 같은 다양한 응용 도메인으로 잘 일반화된다.
• 재학습이나 아키텍처 변경 없이도 높은 분류기 성능를 유지하면서도 회피 공격에 대한 저항력을 크게 향상시킨다.
• PCA를 통한 차원 축소는 재학습이나 아키텍처 변경 없이도 경량이며 확장 가능하고 효과적인 방어 수단으로 기능한다.