[논문 리뷰] EI-MTD:Moving Target Defense for Edge Intelligence against Adversarial Attacks

Yaguan Qian, Qiqi Shao외 6명|arXiv (Cornell University)|2020. 09. 19.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

이 논문은 자원이 제한된 엣지 디바이스에 배포된 작은 학생 모델로 큰, 적대적으로 훈련된 교사 모델의 강건성을 미분 지식 정복을 통해 전달하는 엣지 인텔리전스를 위한 이동 대상 방어 프레임워크 EI-MTD를 제안한다. 베이지안 스택엘베르크 게임을 통해 이러한 다양한 강건한 모델을 동적으로 스케줄링하여 적대적 전이성을 감소시키고, 정확도를 희생시키지 않고 블랙박스 환경에서 뛰어난 방어 성능을 달성한다.

ABSTRACT

With the boom of edge intelligence, its vulnerability to adversarial attacks becomes an urgent problem. The so-called adversarial example can fool a deep learning model on the edge node to misclassify. Due to the property of transferability, the adversary can easily make a black-box attack using a local substitute model. Nevertheless, the limitation of resource of edge nodes cannot afford a complicated defense mechanism as doing on the cloud data center. To overcome the challenge, we propose a dynamic defense mechanism, namely EI-MTD. It first obtains robust member models with small size through differential knowledge distillation from a complicated teacher model on the cloud data center. Then, a dynamic scheduling policy based on a Bayesian Stackelberg game is applied to the choice of a target model for service. This dynamic defense can prohibit the adversary from selecting an optimal substitute model for black-box attacks. Our experimental result shows that this dynamic scheduling can effectively protect edge intelligence against adversarial attacks under the black-box setting.

연구 동기 및 목표

• 제한된 방어 능력으로 인해 압축되고 자원이 제한된 엣지 모델이 적대적 공격에 더 노출되는 문제를 해결한다.
• 적대적 예제가 모델 간 전이되는 것을 완화하여 엣지 인텔리전스 시스템에서 효과적인 블랙박스 공격을 방지한다.
• 클라우드 규모의 방어 기법을 지원할 수 없는 엣지 노드에 적합한 경량이고 구현 가능한 방어 메커니즘을 개발한다.
• 적대자가 성공적인 공격를 위해 대체 모델을 신뢰성 있게 제작할 수 없도록 모델의 다양성과 예측 불가능성을 향상시킨다.
• 청정 입력에 대해 높은 분류 정확도를 유지하면서도 적대적 편향에 대한 강건성을 크게 향상시킨다.

제안 방법

• 클라우드에 있는 큰, 적대적으로 훈련된 교사 모델에서 강건성과 분류 지식을 여러 개의 작은 학생 모델로 전달하기 위해 미분 지식 정복을 적용한다.
• 지식 전달을 향상시키기 위해 고온도 $ T $ 와 정규화 계수 $ \lambda $ 를 사용한다.
• 방어자(엣지 시스템)가 공격자를 혼란스럽게 하기 위해 목표 모델을 확률적으로 선택하는 베이지안 스택엘베르크 게임 기반의 동적 모델 스케줄링 정책을 구현한다.
• 기울기 기반의 다양성 측정법을 활용하여 학생 모델 간 기울기 반응의 차이를 보장함으로써 적대적 예제의 전이성을 감소시킨다.
• 실시간 엣지 추론 파이프라인에 방어 기능을 통합하여 최소한의 계산 오버헤드로 현장 분류를 가능하게 한다.
• 지식 정복 이전에 교사 모델에 대해 적대적 훈련을 수행하여 강건성을 확보함으로써 학생 모델이 이 저항성을 물려받도록 한다.

실험 결과

연구 질문

• RQ1 강건하고 대규모인 교사 모델에서 지식 정복을 통해 적대적 강건성이 작은 엣지 배포용 학생 모델로 효과적으로 전달될 수 있는가?
• RQ2 베이지안 스택엘베르크 게임을 통한 동적 모델 스케줄링이 엣지 인텔리전스 시스템에서의 블랙박스 적대적 공격 성공률를 어느 정도 감소시키는가?
• RQ3 미분 정복을 통한 모델 다양성 증가가 엣지 모델 간 적대적 예제의 전이성에 어떤 영향을 미치는가?
• RQ4 지식 정복과 동적 스케줄링을 조합한 경량 방어 기법이 청정 입력에서 높은 정확도를 유지하면서도 강건성을 크게 향상시킬 수 있는가?
• RQ5 엣지 디바이스에서 방어 성능을 최대화하기 위해 최적의 정복 온도 $ T $ 와 정규화 계수 $ \lambda $ 는 무엇인가?

주요 결과

• EI-MTD는 다양한 강건한 학생 모델 간 동적으로 전환함으로써 블랙박스 적대적 공격의 성공률를 크게 감소시켜 공격자가 효과적인 대체 모델을 찾기 어렵게 한다.
• 정복 온도 $ T $ 와 정규화 계수 $ \lambda $ 를 증가시킬수록 강건성이 향상되며, 최적의 값 설정으로 인해 적대적 편향 하에서도 높은 방어 정확도를 달성한다.
• 청정 테스트 이미지에서 높은 분류 정확도(90% 이상)를 유지함으로써, 강건성이 추론 성능을 희생시키지 않고 달성되었음을 입증한다.
• 미분 지식 정복을 활용함으로써 자원이 제한된 엣지 환경에서도 작은 학생 모델이 큰, 적대적으로 훈련된 교사 모델의 강건성을 물려받을 수 있다.
• 베이지안 스택엘베르크 기반 스케줄링 정책은 모델 선택의 불확실성을 도입함으로써 공격자를 혼란스럽게 하여 전이 기반 공격의 효과를 감소시킨다.
• 정적 모델과 비교할 때 EI-MTD의 동적 방어 메커니즘은 특히 전이성 기반 공격 시나리오에서 강건성 향상에 뚜렷한 개선을 보였다.