[논문 리뷰] Enabling Fast and Universal Audio Adversarial Attack Using Generative Model

Yi Xie, Zhuohang Li외 4명|arXiv (Cornell University)|2020. 04. 26.

Digital Media Forensic Detection인용 수 5

한 줄 요약

이 논문은 Wave-U-Net과 클래스별 임bedding 맵을 사용하여 단일 패assing으로 빠르게 악성 공격 편향을 생성할 수 있는 생성 모델 기반 프레임워크인 FAPG와 UAPG를 제안한다. 이 방법은 이전 방법 대비 최대 214배의 속도 향상을 이룩했으며, 다양한 오디오 DNN에 대해 높은 오도율(최대 89.90%)을 보이는 유니버설 편향을 생성한다.

ABSTRACT

Recently, the vulnerability of DNN-based audio systems to adversarial attacks has obtained the increasing attention. However, the existing audio adversarial attacks allow the adversary to possess the entire user's audio input as well as granting sufficient time budget to generate the adversarial perturbations. These idealized assumptions, however, makes the existing audio adversarial attacks mostly impossible to be launched in a timely fashion in practice (e.g., playing unnoticeable adversarial perturbations along with user's streaming input). To overcome these limitations, in this paper we propose fast audio adversarial perturbation generator (FAPG), which uses generative model to generate adversarial perturbations for the audio input in a single forward pass, thereby drastically improving the perturbation generation speed. Built on the top of FAPG, we further propose universal audio adversarial perturbation generator (UAPG), a scheme crafting universal adversarial perturbation that can be imposed on arbitrary benign audio input to cause misclassification. Extensive experiments show that our proposed FAPG can achieve up to 167X speedup over the state-of-the-art audio adversarial attack methods. Also our proposed UAPG can generate universal adversarial perturbation that achieves much better attack performance than the state-of-the-art solutions.

연구 동기 및 목표

• 높은 시간 및 입력 관찰 요구량으로 인해 기존 오디오 악성 공격이 비현실적이므로 이를 해결한다.
• 편향 생성 시간을 극적으로 단축시켜 스트리밍 오디오에 대한 실시간 악성 공격을 가능하게 한다.
• 재생산이 필요 없이 다양한 정상 오디오 입력에 대해 작동하는 유니버설 악성 편향 생성기를 개발한다.
• 클래스별 임베딩을 사용한 통합 생성 모델을 통해 다중 클래스 공격의 메모리 및 학습 오버헤드를 감소시킨다.
• 실세계 오디오 시스템에 대한 실질적이고 침투성이 높은 공격을 위해 블랙박스 환경에서 강력한 전이성을 확보한다.

제안 방법

• 단일 순방향 전파로 입력 의존적 악성 편향을 생성할 수 있도록 Wave-U-Net 기반 생성 모델(FAPG)을 학습시킨다.
• 목표 클래스 정보를 단일 통합 모델 내에 코딩하기 위해 학습 가능한 클래스별 임베딩 특징 맵을 생성기에 통합한다.
• 동일한 생성 모델을 사용해 다수의 입력에 효과적인 단일 편향을 생성하도록, 유니버설 악성 편향 생성기(UAPG)를 학습시킨다.
• 온도 스케일링(τ)을 사용한 대비 학습 목표 함수를 도입하여 편향 크기를 제어하고 청취 불가능성을 확보한다.
• 정상 오디오 입력 및 해당 타겟 레이블의 데이터셋을 기반으로 종합적으로 모델을 학습시켜 악성 표현을 학습한다.
• 먼저 대체 모델에서 UAPG를 학습하고, 이후 블랙박스 환경에서의 미사용 타겟 모델에서 평가함으로써 전이성을 활용한다.

실험 결과

연구 질문

• RQ1 생성 모델을 단일 순방향 전파로 오디오 입력에 대해 악성 편향을 생성할 수 있는가? 이는 실시간 공격 배포를 가능하게 하는가?
• RQ2 재학습 없이도 단일 통합 생성 모델이 다수의 타겟 클래스에 대해 효과적인 악성 편향을 생성할 수 있는가?
• RQ3 입력에 특화된 재계산 없이도 다양한 정상 오디오 입력에 대해 높은 공격 성공률를 유지하는 유니버설 악성 편향을 학습할 수 있는가?
• RQ4 제안된 방법은 최신의 반복적 또는 유전 알고리즘 기반 오디오 악성 공격에 비해 속도와 공격 성공률에서 어떻게 비교되는가?
• RQ5 블랙박스 환경에서 유니버설 편향이 다양한 오디오 DNN 아키텍처 간에 얼마나 효과적으로 전이되는가?

주요 결과

• FAPG는 C&W 및 유전 알고리즘과 같은 최신 기법 대비 최대 214배의 편향 생성 속도 향상을 달성한다.
• 제안된 FAPG는 모든 테스트 모델에서 높은 공격 성공률(음성 명령 인식에서 89.90%, 화자 인식에서 89.59%, 환경 사운드 분류에서 86.05%)을 유지한다.
• UAPG는 입력에 특화된 재계산 없이도 다양한 정상 오디오 입력에 대해 효과적인 유니버설 편향을 생성한다.
• 블랙박스 환경에서 UAPG는 음성 명령 인식에서 최신 실시간 공격 RAA 대비 29.98% 높은 오도율을 달성한다.
• PCA 시각화 결과, 동일한 타겟 클래스에 대한 입력 의존적 편향의 다양체 내에 유니버설 편향이 존재함을 확인하여, 공통 악성 특징을 효과적으로 학습했다는 것을 입증한다.
• 클래스별 임베딩 맵의 사용으로 단일 생성기 모델이 다수의 타겟 클래스를 지원할 수 있게 되었으며, 이는 메모리 및 학습 비용을 크게 감소시켰다.