[논문 리뷰] GAP++: Learning to generate target-conditioned adversarial examples

Xiaofeng Mao, Yuefeng Chen외 3명|arXiv (Cornell University)|2020. 06. 09.

Adversarial Robustness in Machine Learning참고 문헌 17인용 수 6

한 줄 요약

GAP++는 조건부 생성 적대적 신경망(cGAN)을 사용하여 입력 이미지와 대상 레이블 양쪽에 조건을 두어 대상 조건부 편향을 생성하는 모델 기반 적대적 공격 프레임워크를 제안한다. 단일 훈련 모델로 $L_\infty$, $L_2$, $L_0$ 노름 모두에서 뛰어난 속임수 성공률를 달성하며, 재훈련 없이도 효율적이고 일반화된 공격을 가능하게 하여 단일 대상 모델을 능가한다.

ABSTRACT

Adversarial examples are perturbed inputs which can cause a serious threat for machine learning models. Finding these perturbations is such a hard task that we can only use the iterative methods to traverse. For computational efficiency, recent works use adversarial generative networks to model the distribution of both the universal or image-dependent perturbations directly. However, these methods generate perturbations only rely on input images. In this work, we propose a more general-purpose framework which infers target-conditioned perturbations dependent on both input image and target label. Different from previous single-target attack models, our model can conduct target-conditioned attacks by learning the relations of attack target and the semantics in image. Using extensive experiments on the datasets of MNIST and CIFAR10, we show that our method achieves superior performance with single target attack models and obtains high fooling rates with small perturbation norms.

연구 동기 및 목표

• 각 새로운 대상에 대해 재훈련이 필요한 기존 모델 기반 적대적 공격 방법의 높은 훈련 비용과 제한된 재사용성 문제를 해결하기 위해.
• 입력 이미지와 대상 레이블 양쪽에 조건을 두어 통합된 편향 분포를 학습함으로써 공격 효율성을 향상시키기 위해.
• 재훈련 없이도 단일 훈련 모델이 타겟 지향 및 비타겟 지향 공격을 모두 수행할 수 있도록 하기 위해.
• 다양한 편향 노름($L_\infty$, $L_2$, $L_0$)에서 뛰어난 성능을 발휘하면서도 낮은 편향 노름을 유지하기 위해.

제안 방법

• 입력 이미지와 대상 레이블 양쪽에 조건을 두어 편향을 생성하기 위해 조건부 생성 적대적 신경망(cGAN)을 사용한다.
• 이미지-편향-대상 삼중조합의 통합 분포를 학습하는 통합 공격자 네트워크를 도입하여 한 모델로 다중 대상 공격을 가능하게 한다.
• 편향 크기와 구조를 제어하기 위해 훈련 중에 $L_\infty$, $L_2$, $L_0$ 노름 제약 조건을 적용한다.
• 공격 성공률 평가를 위해 훈련 중에 고정된 파rameters를 가진 피해자 네트워크를 사용하여 현실적인 적대적 예제 생성을 보장한다.
• 비타겟 지향 공격을 단일 대상 레이블을 사용하는 타겟 지향 공격의 특수 케이스로 간주함으로써 통합된 모델 배포를 가능하게 한다.
• 생성된 편향의 간섭성과 안정성을 확보하기 위해 인지 손실과 정규화 모듈을 사용한다.

실험 결과

연구 질문

• RQ1 재훈련 없이도 단일 모델이 여러 대상 클래스에 대해 고품질의 대상 조건부 적대적 예제를 생성할 수 있는가?
• RQ2 통합 모델 기반 공격의 성능이 $L_\infty$, $L_2$, $L_0$ 제약 조건 하에서 단일 대상 모델과 비교해 어떻게 되는가?
• RQ3 입력 이미지와 대상 레이블 양쪽에 조건을 두어 편향 생성을 조건화하는 것이 속임수 성공률와 편향 효율성을 향상시키는가?
• RQ4 동일한 훈련된 모델이 타겟 지향 및 비타겟 지향 공격을 효과적으로 수행할 수 있는가?
• RQ5 다양한 노름 제약 조건($L_\infty$, $L_2$, $L_0$)이 모델이 효과적인 편향 패턴을 학습하는 데 어떤 영향을 미치는가?

주요 결과

• GAP++는 $\epsilon=0.2$ 일 때 $L_\infty$ 노름 하에서 MNIST에서 50.5%의 속임수 성공률, CIFAR10에서 13.3%의 속임수 성공률를 기록하여 단일 대상 모델을 능가한다.
• MNIST에서 다섯 개의 대상 클래스 모두에 대해 높은 공격 성공률를 유지하며, $L_\infty$ 노름 하에서 평균 공격 성공률는 12.8%이다.
• GAP와 FGSM에 비해 GAP++는 단일 모델로 다수의 대상에 대해 다양하고 고품질의 편향을 생성하는 데서 뛰어난 성능을 발휘한다.
• 세 가지 노름 유형 중에서 $L_\infty$가 가장 우수한 성능를 보이며, $L_2$와 $L_0$는 최적화가 불완전하고 국소 최적점에 더 민감한 편이다.
• 시각화 결과에 따르면 $L_\infty$는 부드럽고 간섭성이 없는 편향을 생성하고, $L_2$는 퍼르스러운 노이즈를 생성하며, $L_0$는 흩어진 소금후추 패턴을 생성한다. 이 중 $L_\infty$가 가장 시각적으로 효과적이다.
• 비타겟 지향 공격를 타겟 지향 공격의 특수 케이스로 간주함으로써 모델은 재훈련 없이도 효과적인 일반화를 이룩하며 경쟁 가능한 속임수 성공률를 달성한다.