[논문 리뷰] Evaluating and Understanding the Robustness of Adversarial Logit Pairing

Logan Engstrom, Andrew Ilyas외 1명|arXiv (Cornell University)|2018. 07. 26.

Adversarial Robustness in Machine Learning참고 문헌 11인용 수 85

한 줄 요약

이 논문은 이미지넷에서의 화이트박스 타깃 공격 하에서 Adversarial Logit Pairing(ALP)의 강건성을 평가하며, ALP가 강력한 PGD 공격으로 우회될 수 있고 강건하지 않음을 보여준다; 또한 ALP 목적함수와 손실 지형을 분석한다.

ABSTRACT

We evaluate the robustness of Adversarial Logit Pairing, a recently proposed defense against adversarial examples. We find that a network trained with Adversarial Logit Pairing achieves 0.6% accuracy in the threat model in which the defense is considered. We provide a brief overview of the defense and the threat models/claims considered, as well as a discussion of the methodology and results of our attack, which may offer insights into the reasons underlying the vulnerability of ALP to adversarial attack.

연구 동기 및 목표

• Adversarial Logit Pairing (ALP)의 이미지넷에서의 화이트박스 타깃 적대적 공격에 대한 강건성 평가.
• ALP의 주장 강건성을 경험적 공격과 비교하고 공격 성공에 대한 상한을 제공.
• ALP 손실 형식이 견고 최적화(Madry 등)와 어떻게 다른지 분석.
• ALP가 유도하는 손실 지형과 공격 수렴 동작을 examined하여 취약성 이해.
• 실험적 강건성과 손실 지형 분석에 기반한 적대적 방어 평가 방법 제안

제안 방법

• Projected Gradient Descent(PGD)로 최대 1000스텝까지의 ALP 평가 재현 및 확장.
• 타깃 공격과 비타깃 공격을 모두 평가하고 Perturbation에 따른 공격자 성공률 및 정확도 측정.
• 다양한 지수(perturbation budget epsilon)에서 기본 모델(자연 학습) 대비 ALP 학습 모델 비교.
• ALP 손실 목적함수를 분석하고 이를 Madry 등(식 1)의 견고 최적화 objective와 대조.
• 테스트 포인트 주위의 손실 지형 시각화로 ALP가 유도하는 최적화 지형 특성 파악.
• 공격 수렴 동작을 점검하여 기울기 기반의 강건성 평가

실험 결과

연구 질문

• RQ1 ImageNet에서 표준 변화 한계 하에서 ALP가 화이트박스 타깃 적대적 공격에 대해 얼마나 강건한가?
• RQ2 변형 강도가 증가함에 따라 ALP와 기본 모델 간의 공격자 성공률과 정확도 차이는 어떻게 되는가?
• RQ3 ALP 손실 형식은 Madry 등(식 1)의 견고 최적화 목적과 어떻게 다른가?
• RQ4 ALP가 유도하는 손실 지형은 어떤 특징을 가지고 있으며 이것이 공격 수렴에 어떤 영향을 주는가?
• RQ5 경험적 강건성 분석과 손실 지형 시각화가 적대적 방어 평가의 일반적 도구가 될 수 있는가?

주요 결과

• 화이트박스 타깃 공격에서 epsilon = 16/255일 때 공격 성공률 98.6%이며 ALP 정확도는 0.6%이다.
• 비타깃 공격에서 epsilon = 16/255일 때 ALP 정확도가 0.1%로 하락한다.
• ALP 목적함수는 자연 입력으로 학습하고 학습 중 타깃된 적대적 예를 사용한다는 점에서 견고 최적화 목적과 다르다.
• ALP의 손실 지형은 울퉁불퉁하고 국소적으로 낮아진 형태를 보이며 입력 주위의 최적화 동역학이 달라졌음을 시사한다.
• ALP에서 공격 수렴은 더 많은 기울기 스텝을 필요로 하지만 궁극적으로 방어를 무너뜨리는 데 성공한다.
• 저자들은 평가 코드베이스를 제공하고 적대적 방어를 평가하는 일반적 관행으로 그 방법을 권장한다.