[논문 리뷰] Frequency Domain Model Augmentation for Adversarial Attack

Yuyang Long, Qilong Zhang외 5명|arXiv (Cornell University)|2022. 07. 12.

Adversarial Robustness in Machine Learning인용 수 7

한 줄 요약

이 논문은 DCT/IDCT 기반 주파수 영역 변환을 사용하여 다양한 대체 모델을 생성함으로써 적대적 전이성(transferability)을 향상시키는 새로운 주파수 영역 모델 보강 방법인 스펙트럼 시뮬레이션 공격(Spectrum Simulation Attack, SSA)을 제안한다. 입력의 주파수 스펙트럼을 조작함으로써 SSA는 더 전이성 높은 적대적 예제를 생성하며, ImageNet에서 9개의 최신 방어 모델에 대해 평균 95.4%의 성공률을 기록한다.

ABSTRACT

For black-box attacks, the gap between the substitute model and the victim model is usually large, which manifests as a weak attack performance. Motivated by the observation that the transferability of adversarial examples can be improved by attacking diverse models simultaneously, model augmentation methods which simulate different models by using transformed images are proposed. However, existing transformations for spatial domain do not translate to significantly diverse augmented models. To tackle this issue, we propose a novel spectrum simulation attack to craft more transferable adversarial examples against both normally trained and defense models. Specifically, we apply a spectrum transformation to the input and thus perform the model augmentation in the frequency domain. We theoretically prove that the transformation derived from frequency domain leads to a diverse spectrum saliency map, an indicator we proposed to reflect the diversity of substitute models. Notably, our method can be generally combined with existing attacks. Extensive experiments on the ImageNet dataset demonstrate the effectiveness of our method, extit{e.g.}, attacking nine state-of-the-art defense models with an average success rate of extbf{95.4\%}. Our code is available in \url{https://github.com/yuyang-long/SSA}.

연구 동기 및 목표

• 대체 모델과 피해자 모델 간 격차로 인해 블랙박스 공격에서 적대적 예제의 전이성이 제한되는 문제를 해결하기 위해.
• 공간 영역 변환과 비교했을 때 주파수 영역 변환이 더 다양한 대체 모델을 생성할 수 있는지 조사하기 위해.
• 스펙트럼 조작을 통해 다양한 모델 행동을 시뮬레이션하는 모델 보강 기법을 개발하여 적대적 공격 성공률를 향상시키기 위해.
• 표준 모델과 방어 모델 모두에서 주파수 영역 스펙트럼 변환의 전이성 향상 효과를 검증하기 위해.

제안 방법

• 이산余弦변환(DCT)과 역 DCT(IDCT)를 사용한 주파수 영역에서 입력 이미지를 수정하는 스펙트럼 변환을 제안한다.
• 모델 다양성을 정량화하기 위해 모델의 손실 함수가 입력의 주파수 스펙트럼에 대해 미분한 값인 스펙트럼 샛기 지도(spectrum saliency map)를 도입한다.
• 스펙트럼 변환의 정도와 분포를 제어하기 위해 무작위 파rameter ξ와 M을 사용하여 모델 다양성을 증가시킨다.
• 블록 단위 처리 없이 전체 이미지의 DCT/IDCT를 직접 적용함으로써 전역 주파수 구조를 유지하고 전이성을 향상시킨다.
• 기존의 적대적 공격 프레임워크(예: I-FGSM)에 스펙트럼 변환을 플러그인 보강 기법으로 통합한다.
• 이론적 분석을 통해 스펙트럼 변환이 다양한 스펙트럼 샛기 지도를 유도함으로써 효과적인 모델 다양성 시뮬레이션을 가능하게 함을 증명한다.

실험 결과

연구 질문

• RQ1 적대적 공격에서 주파수 영역 변환은 공간 영역 변환보다 더 다양한 대체 모델을 생성할 수 있는가?
• RQ2 스펙트럼 샛기 지도는 다양한 모델 간의 모델 행동 차이를 어떻게 반영하는가?
• RQ3 스펙트럼 기반 모델 보강은 표준 모델과 방어 모델 모두에서 전이성 향상에 얼마나 기여하는가?
• RQ4 공격 성공률를 최대화하기 위해 변환 파rameter(ξ와 M)의 최적 구성은 무엇인가?
• RQ5 전체 이미지 DCT/IDCT 처리가 블록 단위 처리보다 스펙트럼 기반 모델 보강에서 더 우수한 성능을 내는가?

주요 결과

• 제안된 주파수 영역 스펙트럼 변환은 공간 영역 방법과 비교해 더 광범위하고 다양한 스펙트럼 샛기 지도를 통해 모델 다양성이 크게 향상됨을 입증한다.
• 스펙트럼 시뮬레이션 공격(SSA)은 9개의 최신 방어 모델에 대해 평균 95.4%의 공격 성공률를 기록하며, 최신 기술(SOTA) 기반 전이 공격 대비 5.6%에서 23.1%까지 높은 성능을 기록한다.
• Inc-v3를 공격할 경우 주파수 영역 방법이 공간 영역 방법보다 공격 성공률에서 15.0% 높게 기록되어 주파수 영역 모델링의 우수성을 입증한다.
• DCT/IDCT 처리의 블록 크기가 성능에 큰 영향을 미치며, 전체 이미지 처리(299×299)가 가장 높은 성공률를 기록한다.
• ξ와 M 둘 다 전이성 향상에 효과적이며, 이 둘을 함께 사용할 경우 공격 성능이 크게 향상된다.
• Grad-CAM 시각화 결과는 적대적 예제가 모델의 주의를 핵심 객체에서 무관한 영역으로 옮긴다는 것을 확인하며, 높은 오분류율을 설명한다.