[논문 리뷰] Generative Dynamic Patch Attack

Xiang Li, Shihao Ji|arXiv (Cornell University)|2021. 11. 08.

Adversarial Robustness in Machine Learning참고 문헌 40인용 수 8

한 줄 요약

이 논문은 최대 공격 성공률을 달성하기 위해 적대적 패치 패턴과 동적이고 이미지에 특화된 위치를 동시에 최적화하는 엔드 투 엔드 미분 가능한 프레임워크인 Generative Dynamic Patch Attack (GDPA)를 제안한다. GDPA는 다양한 벤치마크에서 최신 기준 공격 성공률을 달성하며, 최적화 기반 기준 대비 40–50배 빠른 속도로 매우 강력한 적대적 훈련을 가능하게 하여 다양한 패치 공격에 대한 방어 성능을 크게 향상시킨다.

ABSTRACT

Adversarial patch attack is a family of attack algorithms that perturb a part of image to fool a deep neural network model. Existing patch attacks mostly consider injecting adversarial patches at input-agnostic locations: either a predefined location or a random location. This attack setup may be sufficient for attack but has considerable limitations when using it for adversarial training. Thus, robust models trained with existing patch attacks cannot effectively defend other adversarial attacks. In this paper, we first propose an end-to-end patch attack algorithm, Generative Dynamic Patch Attack (GDPA), which generates both patch pattern and patch location adversarially for each input image. We show that GDPA is a generic attack framework that can produce dynamic/static and visible/invisible patches with a few configuration changes. Secondly, GDPA can be readily integrated for adversarial training to improve model robustness to various adversarial attacks. Extensive experiments on VGGFace, Traffic Sign and ImageNet show that GDPA achieves higher attack success rates than state-of-the-art patch attacks, while adversarially trained model with GDPA demonstrates superior robustness to adversarial patch attacks than competing methods. Our source code can be found at https://github.com/lxuniverse/gdpa.

연구 동기 및 목표

• 기존 패치 공격가 고정되거나 무작위 위치를 사용하는 데서 비롯되는 한계를 해결하기 위해.
• 패치 패턴과 최적의 이미지 기반 위치를 동시에 학습하는 일반적이고 엔드 투 엔드로 미분 가능한 프레임워크를 개발하기 위해.
• 공격를 적대적 훈련에 통합하여 실제 세계의 패치 공격에 대한 모델의 강건성을 향상시키기 위해.
• 최적화 기반 방법(예: PGD 및 ROA)에 비해 훨씬 더 빠른 추론 속도를 유지하면서도 높은 공격 성공률을 달성하기 위해.

제안 방법

• GDPA는 각 입력 이미지에 대해 패치 패턴과 그 공간적 위치를 동시에 최적화하는 엔드 투 엔드로 미분 가능한 최적화 문제로 패치 공격를 공식화한다.
• 이 방법은 단일 순방향 전파를 통해 패치 콘텐츠와 공간 좌표를 모두 출력하는 학습 가능한 패치 생성기 사용한다.
• 패치를 예측된 위치에 입력 이미지에 삽입하기 위해 미분 가능한 렌더링 프로세스를 적용한다.
• 공격 목표는 타겟 모델이 패치가 삽입된 입력에 대해 교차 엔트로피 손실을 최대화하도록 하여 패치 및 위치 파라미터를 통해 역전파가 가능하도록 한다.
• 가령 가능한 초모수를 설정함으로써 동적(이미지 기반) 및 정적(유니버설) 패치, 가시 및 비가시 변형을 모두 지원한다.
• 공격를 훈련 루프에 통합함으로써 효율적인 적대적 훈련을 가능하게 하여 다양한 패치 공격에 강건한 모델을 생성한다.

실험 결과

연구 질문

• RQ1 엔드 투 엔드로 미분 가능한 프레임워크가 고정되거나 무작위 위치를 사용하는 방법에 비해 패치 패턴과 위치를 동시에 최적화하여 공격 성공률을 향상시킬 수 있는가?
• RQ2 GDPA의 동적 패치 생성 방식은 다양한 데이터셋과 모델에서 최신 기준 패치 공격와 비교해 공격 성공률 측면에서 어떻게 성과를 내는가?
• RQ3 GDPA를 사용한 적대적 훈련은 기존 방어 방법에 비해 고성능 물리적 패치 공격에 대해 얼마나 강건성을 향상시키는가?
• RQ4 실제 구현 환경에서 GDPA의 추론 속도는 PGD 및 ROA와 같은 최적화 기반 공격에 비해 어떻게 비교되는가?

주요 결과

• GDPA는 최신 기준 공격 성공률을 달성하여 VGGFace에서 동적 패치로 99.5%의 성공률을 기록했고, ImageNet에서는 99.8%에 이를 정도로 기존 방법을 초월한다.
• GDPA-AT로 훈련된 모델은 교통 표지에서 스티커 공격에 대해 98.5%의 정확도를 기록했고, ImageNet에서는 LAVAN 공격에 대해 96.2%의 정확도를 기록하여 PGD-AT, DOA-Grad, DOA-Exh를 모두 능가한다.
• GDPA-AT는 뛰어난 강건성을 보이며, VGGFace에서 안경 공격에 대해 300회 반복 조건에서도 94.9%의 정확도를 유지했고, DOA-Grad는 81.9%에 그쳤다.
• GDPA는 PGD보다 40배, ROA보다 47배 더 빠르며, 공격당 단 한 번의 순방향 전파만으로도 충분하므로 실시간 응용에 매우 효율적이다.
• 제거 분석 결과 동적 패치 위치 선택이 공격 성공률 향상에 크게 기여하며, VGGFace에서 무작위 위치 사용 시 공격 성공률(ASR)이 46.3%에서 동적 위치 사용 시 99.5%로 상승함을 확인했다.
• 프레임워크는 가시 및 비가시 패치를 모두 성공적으로 생성하여 아키텍처 변경 없이 다양한 공격 구성에 유연하게 대응함을 보였다.