[논문 리뷰] Generating adversarial examples in the harsh conditions

Junde Wu|arXiv (Cornell University)|2019. 08. 29.

Adversarial Robustness in Machine Learning참고 문헌 29인용 수 4

한 줄 요약

이 논문은 입력에서 악성 예제로의 단일 유니버설 매핑을 학습하여, 공격이 목표 지정, 유니버설, 그리고 높은 이동성이라는 엄격한 조건에서도 효과적으로 작동하도록 하는 유니버설 적대적 공격 프레임워크를 제안한다. 이 방법은 다양한 모델과 데이터셋에서 높은 속임수 성공률를 기록하며 강력한 내성과 이동성을 입증한다.

ABSTRACT

Deep Neural Networks have been found vulnerable re-cently. A kind of well-designed inputs, which called adver-sarial examples, can lead the networks to make incorrectpredictions. Depending on the different scenarios, goalsand capabilities, the difficulties of the attacks are different.For example, a targeted attack is more difficult than a non-targeted attack, a universal attack is more difficult than anon-universal attack, a transferable attack is more difficultthan a nontransferable one. The question is: Is there existan attack that can meet all these requirements? In this pa-per, we answer this question by producing a kind of attacksunder these conditions. We learn a universal mapping tomap the sources to the adversarial examples. These exam-ples can fool classification networks to classify all of theminto one targeted class, and also have strong transferability.Our code is released at: xxxxx.

연구 동기 및 목표

• 여러 엄격한 조건을 동시에 충족하는 악성 예제를 생성하는 데 도전하는 것.
• 예측을 특정 클래스로 향하게 하는 타겟 지정 공격과 모든 입력에 적용 가능한 유니버설 공격을 동시에 구현하는 것.
• 다양한 딥 뉴럴 네트워크 아키텍처와 데이터셋 간에 강력한 이동성을 확보하는 것.
• 자연 입력을 최소한의 변형으로 악성 예제로 변환하는 단일 유니버설 매핑을 학습하는 것.

제안 방법

• 분류 네트워크가 단일 타겟 클래스로 예측하도록 유도하는 악성 예제로 입력 이미지를 변환하는 데 목적을 둔 유니버설 매핑 함수를 활용한다.
• 모든 입력에 대해 유니버설 적용 가능성을 보장하면서 동시에 타겟 지정 오분류를 강제하는 공동 최적화 목적 함수를 사용한다.
• 다양한 네트워크 아키텍처에 효과적인 편향을 생성하기 위해 기울기 기반 최적화 전략을 활용한다.
• 학습 중에 이동성 정규화 항을 구현하여 미리 보지 않은 모델에서의 성능을 향상시킨다.
• 재계산 없이 추론 시에 유니버설 매핑을 적용하여 빠르고 확장 가능한 배포를 가능하게 한다.

실험 결과

연구 질문

• RQ1 단일 유니버설 매핑이 모든 입력에 대해 효과적이면서도 타겟 지정된 악성 예제를 생성할 수 있는가?
• RQ2 제안된 방법은 다양한 딥 러닝 모델 간에 악성 예제를 얼마나 효과적으로 이동시킬 수 있는가?
• RQ3 타겟 지정, 유니버설성, 이동성의 복합 제약 조건 하에서도 이 방법이 얼마나 높은 속임수 성공률를 유지하는가?
• RQ4 유니버설 매핑은 미세조정 없이도 새로운 모델과 데이터셋으로 일반화될 수 있는가?

주요 결과

• 제안된 방법은 ImageNet과 CIFAR-10를 포함한 여러 벤치마크 데이터셋에서 높은 타겟 지정 속임수 성공률를 기록한다.
• 유니버설 적대적 예제는 강력한 이동성을 보이며, 새로운 모델을 성공적으로 속이는 데 높은 성공률를 기록한다.
• 표준 적대적 훈련에 대한 저항성에도 불구하고 공격는 효과성을 유지함으로써 강건성을 입증한다.
• 유니버설 매핑 접근법은 추론 시 계산 오버헤드를 크게 줄여 실시간 배포를 가능하게 한다.