[논문 리뷰] Featurized Bidirectional GAN: Adversarial Defense via Adversarially Learned Semantic Inference

Ruying Bao, Sihang Liang외 1명|arXiv (Cornell University)|2018. 05. 21.

Adversarial Robustness in Machine Learning참고 문헌 21인용 수 12

한 줄 요약

이 논문은 데이터와 저차원의 의미적 잠재 공간 사이의 적대적으로 학습된 이중 방향 맵핑을 사용하여 강건한 특징을 추출하고, 적대적 입력으로부터 깨끗한 이미지를 복원하는 방식의 방어 방법인 피처라이즈드 양방향 GAN(FBGAN)을 제안한다. 잠재 코드와 생성된 이미지 간의 상호정보량을 최대화함으로써 FBGAN은 의미적 특징을 분리하여, 82%의 정확도로 MNIST에서, ε=0.3일 때 44%의 정확도로 FMNIST에서 흰색 상자 공격과 GRAY-BOX 공격에 효과적으로 대응할 수 있다.

ABSTRACT

Deep neural networks have been demonstrated to be vulnerable to adversarial attacks, where small perturbations intentionally added to the original inputs can fool the classifier. In this paper, we propose a defense method, Featurized Bidirectional Generative Adversarial Networks (FBGAN), to extract the semantic features of the input and filter the non-semantic perturbation. FBGAN is pre-trained on the clean dataset in an unsupervised manner, adversarially learning a bidirectional mapping between the high-dimensional data space and the low-dimensional semantic space; also mutual information is applied to disentangle the semantically meaningful features. After the bidirectional mapping, the adversarial data can be reconstructed to denoised data, which could be fed into any pre-trained classifier. We empirically show the quality of reconstruction images and the effectiveness of defense.

연구 동기 및 목표

• 딥 네URAL 네트워크가 비의미적, 저수준의 특징을 악용하는 적대적 공격에 취약한 문제를 해결하기 위해.
• 분류기 재학습이 필요 없이, 분류 이전에 입력을 노이즈 제거하는 방어 메커니즘을 개발하기 위해.
• 고비용의 계산 또는 잘못된 안전감각을 야기하는 기존의 방어 기법들인 적대적 훈련과 기울기 마스킹을 개선하기 위해.
• 인간의 강건하고 고수준의 특징 인식 방식을 영감으로 삼아, 생성 모델을 활용해 의미적 특징 추출과 이미지 복원을 수행하기 위해.
• 상호정보량 정규화를 통해 컴act하고 분리된 잠재 공간을 활용해 효과적인 방어를 달성하기 위해.

제안 방법

• FBGAN은 인코더 E, 생성자 G, 판별자 D를 포함한 이중 방향 GAN 아키텍처를 사용하여 데이터 공간과 잠재 공간 간의 엔드 투 엔드 맵핑을 가능하게 한다.
• 모델은 청소된 데이터에서 사전 학습을 비지도 방식으로 수행하며, 입력 이미지와 그 잠재 코드 간의 공동 분포를 학습한다.
• 잠재 코드 z와 생성된 이미지 G(z) 간의 상호정보량을 최대화함으로써 의미적 특징을 별개의 구성요소(예: 숫자 클래스, 선 두께 등)로 분리한다.
• 의미적 코드는 인코더 E를 통해 적대적 입력에서 추출되고, G를 통해 재구성된 이미지가 생성되어 비의미적 편향을 제거한다.
• 흰색 상자 방어를 위해, 정규화를 적용한다: 범주형 코드는 원-핫 인코딩을, 연속형 코드는 클리핑을 통해 잠재 표현을 안정화시킨다.
• 재구성된 이미지는 어떤 사전 훈련된 분류기에도 그대로 입력되어, 분류기 아키텍처를 수정하지 않고도 방어가 가능하다.

실험 결과

연구 질문

• RQ1 이중 방향 맵핑과 상호정보량 정규화를 갖춘 생성 모델이 적대적 편향에 강건한 의미적 특징을 효과적으로 추출할 수 있는가?
• RQ2 기본적인 BiGAN과 비교해 상호정보량 최대화가 잠재 공간 내 의미적 특징의 분리에 얼마나 기여하는가?
• RQ3 FBGAN이 의미적 내용을 유지하면서 적대적 입력으로부터 깨끗한 이미지를 얼마나 잘 재구성할 수 있는가?
• RQ4 FBGAN이 다양한 데이터셋에서 흰색 상자 및 GRAY-BOX 공격에 대해 얼마나 효과적으로 방어할 수 있는가?
• RQ5 FBGAN이 MNIST와 FMNIST에서는 성능이 우수한데 SVHN에서는 그렇지 않은 이유는 무엇이며, 이는 데이터 모드의 복잡성 때문일 수 있는가?

주요 결과

• FBGAN은 ε=0.3일 때 흰색 상자 PGD 공격 하에서 MNIST에서 82%의 분류 정확도, FMNIST에서 44%의 정확도를 기록하여 강력한 방어 성능을 입증한다.
• 모델은 노이즈 같은 편향을 제거하면서도 의미적 내용(예: 숫자 클래스, 기울기 각도 등)을 유지한 채로 적대적 이미지를 성공적으로 재구성한다.
• 상호정보량 정규화 덕분에 FBGAN은 BiGAN이 128개 이상의 코드가 필요로 하고 엉키는 반면, 10개의 범주형 + 4개의 연속형 코드로 구성된 컴act한 잠재 공간에 의미적 특징을 분리할 수 있다.
• 기본 BiGAN은 조절 조차도 수렴해도 의미적 특징을 분리하지 못함을 확인하여, FBGAN에서 명시적 MI 정규화가 필수적임을 입증한다.
• SVHN에서의 성능 저하는 높은 모드 복잡성과 배경의 변동성 때문이며, 이는 데이터 분포의 복잡성이 재구성 품질과 방어 강건성에 영향을 준다는 것을 시사한다.