[논문 리뷰] GanDef: A GAN based Adversarial Training Defense for Neural Network Classifier

Guanxiong Liu, Issa Khalil외 1명|arXiv (Cornell University)|2019. 03. 06.

Adversarial Robustness in Machine Learning참고 문헌 22인용 수 5

한 줄 요약

GanDef는 신경망 분류기에서 특징 학습을 정규화하기 위해 판별기(discriminator)를 사용하는 GAN 기반의 적대적 방어 기법을 제안한다. 이는 정상 데이터에 대한 정확도와 적대적 예제에 대한 강건성 사이의 동적 트레이드오프를 가능하게 하며, 적대적 예제 비율이 41.7%를 초과할 경우 GanDef-Comb 버전을 통해 기존 방어 기법을 능가하는 최신 기술 수준의 테스트 정확도를 달성한다.

ABSTRACT

Machine learning models, especially neural network (NN) classifiers, are widely used in many applications including natural language processing, computer vision and cybersecurity. They provide high accuracy under the assumption of attack-free scenarios. However, this assumption has been defied by the introduction of adversarial examples -- carefully perturbed samples of input that are usually misclassified. Many researchers have tried to develop a defense against adversarial examples; however, we are still far from achieving that goal. In this paper, we design a Generative Adversarial Net (GAN) based adversarial training defense, dubbed GanDef, which utilizes a competition game to regulate the feature selection during the training. We analytically show that GanDef can train a classifier so it can defend against adversarial examples. Through extensive evaluation on different white-box adversarial examples, the classifier trained by GanDef shows the same level of test accuracy as those trained by state-of-the-art adversarial training defenses. More importantly, GanDef-Comb, a variant of GanDef, could utilize the discriminator to achieve a dynamic trade-off between correctly classifying original and adversarial examples. As a result, it achieves the highest overall test accuracy when the ratio of adversarial examples exceeds 41.7%.

연구 동기 및 목표

• 최소한의 눈에 띄지 않는 변형으로 모델을 오도할 수 있는 적대적 예제에 대한 신경망 분류기의 취약성을 해결하기 위해.
• 정상 데이터에 대한 높은 테스트 정확도를 유지하면서도 적대적 공격에 대한 강건성을 향상시키기 위한 방어 메커니즘을 개발하기 위해.
• 특히 고위험 또는 오작동 민감도가 높은 환경에서 원본 및 적대적 예제를 분류하는 데 있어 동적 트레이드오프를 가능하게 하기 위해.
• GanDef의 최소-최대 게임이 변형에 강인한 특징을 활용하는 분류기로 이어지는 것을 수학적으로 증명하기 위해.
• 다양한 데이터셋과 공격 유형에서 최신 기술 수준의 적대적 훈련 방어 기법들과의 비교를 통해 GanDef의 성능을 경험적으로 검증하기 위해.

제안 방법

• GanDef는 분류기와 판별기 사이의 최소-최대 게임을 설정하여, 판별기가 특징 선택을 이끌어 강건성을 향상시킨다.
• 분류기는 정상 데이터에 대한 교차 엔트로피 손실을 최소화하도록 훈련되며, 판별기는 진짜와 적대적으로 변형된 특징을 구분하도록 학습된다.
• 핵심 요소로는 분류기가 불확실할 경우 판별기를 두 번째 방어 수단으로 활용해 적대적 입력을 경고하는 것이다.
• GanDef-Comb는 분류기와 판별기의 출력을 임계값 기반 결정 규칙으로 조합하여 정상 및 적대적 예제에서의 성능을 동적으로 균형 잡는다.
• 훈련 중에 FGSM, BIM, PGD 공격을 사용하여 표준 적대적 훈련을 수행하여 변형을 생성한다.
• 정상 및 적대적 예제 성능 간의 트레이드오프는 판별기의 임계값 조정을 통해 제어되며, 런타임에서의 적응 가능성을 제공한다.

실험 결과

연구 질문

• RQ1 GAN 기반 프레임워크가 정상 데이터에 대한 정확도를 희생시키지 않고도 적대적 강건성을 향상시킬 수 있는가?
• RQ2 적대적 훈련에 판별기를 포함함으로써 원본 및 적대적 예제를 분류하는 데 있어 동적 트레이드오프를 달성할 수 있는가?
• RQ3 다양한 공격 유형과 적대적 예제 비율에서 GanDef는 최신 기술 수준의 적대적 훈련 방어 기법과 비교해 테스트 정확도에서 어떤가?
• RQ4 GanDef-Comb는 어떤 조건에서 기존 방어 기법보다 높은 종합 테스트 정확도를 달성하는가?
• RQ5 GanDef의 최소-최대 게임이 변형에 강인한 특징을 활용하는 분류기로 이어지는 것을 수학적으로 증명할 수 있는가?

주요 결과

• GanDef는 Pure PGD, Mix PGD, Logit Pairing 등의 최신 기술 수준의 방어 기법과 비교해 적대적 예제에서 동일하거나 높은 테스트 정확도를 달성한다.
• CIFAR10 데이터셋에서 GanDef-Comb는 PGD-2 공격에 대해 최신 기술 수준의 방어 기법 대비 최소 25.23% 향상된 테스트 정확도를 기록한다.
• 적대적 예제 비율이 41.7%를 초과할 경우, GanDef-Comb는 전체 테스트 정확도가 가장 높으며, 위험 감수성이 높은 환경에서 기존 방어 기법을 능가한다.
• MNIST에서 GanDef-Comb는 원본 및 FGSM/BIM 예제에서 GanDef와 동일한 테스트 정확도를 유지하며, PGD-1 및 PGD-2에서 0.3% 미만의 정확도 저하를 보인다.
• GanDef의 분류기는 변형에 강인한 특징을 활용하는 해법으로 수렴한다는 것을 수학적으로 증명되었다.
• GanDef-Comb의 판별기는 동적 제어를 가능하게 하며, 기대되는 적대적 비율에 따라 임계값 조정을 통해 성능 조절이 가능하다.