[논문 리뷰] Discrete Attacks and Submodular Optimization with Applications to Text Classification.

Qi Lei, Lingfei Wu외 4명|arXiv (Cornell University)|2018. 12. 01.

Adversarial Robustness in Machine Learning참고 문헌 14인용 수 16

한 줄 요약

이 논문은 텍스트 적대적 공격을 이산 집합 위에서 부분모듈러 최적화 문제로 공식화하며, 공격 목표의 부분모듈러성에 기반해 탐욕적 탐색을 통해 1−1/e의 근사 보장을 달성한다. 분류기 기울기를 통한 탐색 지도와 공동 문장-단어 재서술 기법을 통합함으로써, 세 가지 텍스트 분류 작업 전반에서 기존 방법보다 더 높은 공격 성공률과 더 높은 의미 유지도를 달성한다.

ABSTRACT

Adversarial examples are carefully constructed modifications to an input that completely change the output of a classifier but are imperceptible to humans. Despite these successful attacks for continuous data (such as image and audio samples), generating adversarial examples for discrete structures such as text has proven significantly more challenging. In this paper we formulate the attacks with discrete input on a set function as an optimization task. We prove that this set function is submodular for some popular neural network text classifiers under simplifying assumption. This finding guarantees a $1-1/e$ approximation factor for attacks that use the greedy algorithm. Meanwhile, we show how to use the gradient of the attacked classifier to guide the greedy search. Empirical studies with our proposed optimization scheme show significantly improved attack ability and efficiency, on three different text classification tasks over various baselines. We also use a joint sentence and word paraphrasing technique to maintain the original semantics and syntax of the text. This is validated by a human subject evaluation in subjective metrics on the quality and semantic coherence of our generated adversarial text.

연구 동기 및 목표

• 이산 텍스트 입력에 대한 효과적인 적대적 예제를 생성하는 데 도전하는 것 — 이는 이미지와 같은 연속 데이터보다 더 어렵기 때문이다.
• 적대적 공격 과정을 집합 함수 위의 부분모듈러 최적화 문제로 모델링하여 이론적 근사 보장을 보장하는 것.
• 탐욕적 탐색과 분류기의 기울기 정보를 조합하여 공격 효율성과 성공률을 향상시키는 것.
• 공격 텍스트의 의미 일관성과 문법적 품질을 유지하기 위해 공동 문장 및 단어 재서술 기법을 사용하는 것.
• 의사 평가를 통해 생성된 적대적 예제의 품질, 의미 일관성 및 유창성에 대한 평가를 수행하는 것.

제안 방법

• 분류기 출력의 변화를 나타내는 집합 함수 위에서 이산 텍스트에 대한 적대적 공격를 최적화 문제로 공식화한다.
• 기존의 신경망 기반 텍스트 분류기에서 일반적인 간소화 가정 하에 집합 함수가 부분모듈러리티를 갖는 것을 증명함으로써, 탐욕적 탐색을 통한 1−1/e 근사 보장을 가능하게 한다.
• 분류기의 기울기를 통합하여 단어 또는 문장 수정의 탐욕적 선택을 지도함으로써 공격 효과성을 향상시킨다.
• 공격 중 입력 텍스트의 원래 의미와 문법을 유지하기 위해 공동 문장 및 단어 재서술 기법을 적용한다.
• 두 단계 과정을 사용한다: 첫 번째로 탐욕적 최적화를 통해 변형을 식별하고, 두 번째로 재서술을 적용하여 유창성과 일관성을 유지한다.
• 공격 성공률, 효율성, 의미 품질을 평가하기 위해 세 가지 다른 텍스트 분류 작업에 이 방법을 적용한다.

실험 결과

연구 질문

• RQ1 이산 텍스트 입력에 대한 적대적 공격를 부분모듈러 최적화 문제로 공식화할 수 있는가? 이는 이론적 성능 한계를 보장할 수 있는가?
• RQ2 기울기 지도 탐색과 탐욕적 탐색을 조합하면 기존 기준 방법 대비 공격 성공률이 어떻게 향상되는가?
• RQ3 공동 문장 및 단어 재서술 기법을 통해 적대적 예제에서 의미 일관성과 문법적 구조를 얼마나 잘 유지할 수 있는가?
• RQ4 다양한 텍스트 분류 작업에서 제안된 방법의 실증적 공격 성공률과 효율성은 어떠한가?
• RQ5 사람 평가자들은 생성된 적대적 텍스트의 품질과 의미 일관성에 대해 어떻게 평가하는가?

주요 결과

• 제안된 방법은 세 가지 텍스트 분류 작업 전반에서 기존 기준 방법보다 유의미하게 높은 공격 성공률을 달성한다.
• 부분모듈러 공식화는 공격 성능에 대해 이론적 1−1/e 근사 보장을 제공함으로써 강력한 최적화 기반을 마련한다.
• 기울기 지도 탐욕적 탐색은 공격 효율성과 효과성을 향상시켜 기울기 기반이 아닌 탐욕적 접근보다 뛰어난 성능을 보인다.
• 사람 평가 결과, 생성된 적대적 텍스트가 높은 의미 일관성과 유창성을 유지하며 품질 저하가 최소한임을 확인하였다.
• 공동 문장 및 단어 재서술 기법은 공격 중 입력 텍스트의 원래 의미와 문법을 성공적으로 유지하였다.
• 실증 결과는 이 방법이 효율적이고 효과적이며, 자연어 처리 시스템의 실질적 적대적 테스트에 적합하다는 것을 보여준다.