[논문 리뷰] Going Far Boosts Attack Transferability, but Do Not Do It.

Sizhe Chen, Qinghua Tao외 2명|arXiv (Cornell University)|2021. 02. 20.

Adversarial Robustness in Machine Learning참고 문헌 30인용 수 5

한 줄 요약

이 논문은 최적화 알고리즘이 딥 네ural 네트워크에서 적대적 공격의 전이 가능성에 미치는 영향을 조사하며, 전이 가능성과 원본 입력에서의 루트 평균 제곱 오차(RMSE) 감소 간 강한 상관관계를 발견한다. 이를 활용해 저자들은 RMSE 최소화를 목표로 하여 전이 가능성을 20% 향상시키는 LARA(Large RMSE Attack)를 제안하며, 공격 강도를 공정하게 평가하기 위해 ℓ∞ 및 RMSE를 모두 필수 메트릭으로 주장한다.

ABSTRACT

Deep Neural Networks (DNNs) could be easily fooled by Adversarial Examples (AEs) with an imperceptible difference to original ones in human eyes. Also, the AEs from attacking one surrogate DNN tend to cheat other black-box DNNs as well, i.e., the attack transferability. Existing works reveal that adopting certain optimization algorithms in attack improves transferability, but the underlying reasons have not been thoroughly studied. In this paper, we investigate the impacts of optimization on attack transferability by comprehensive experiments concerning 7 optimization algorithms, 4 surrogates, and 9 black-box models. Through the thorough empirical analysis from three perspectives, we surprisingly find that the varied transferability of AEs from optimization algorithms is strongly related to the corresponding Root Mean Square Error (RMSE) from their original samples. On such a basis, one could simply approach high transferability by attacking until RMSE decreases, which motives us to propose a LArge RMSE Attack (LARA). Although LARA significantly improves transferability by 20%, it is insufficient to exploit the vulnerability of DNNs, leading to a natural urge that the strength of all attacks should be measured by both the widely used $\ell_\infty$ bound and the RMSE addressed in this paper, so that tricky enhancement of transferability would be avoided.

연구 동기 및 목표

• 다양한 최적화 알고리즘 간 적대적 공격의 전이 가능성 변동 원인을 이해하기 위해.
• 원본 입력에서 RMSE를 감소시키는 최적화 전략이 블랙박스 모델로의 전이 가능성과 상관관계가 있는지 조사하기 위해.
• 기존의 ℓ∞ 기준에만 의존하지 않고 RMSE 최소화를 활용해 더 높은 전이 가능성을 달성하는 새로운 공격 방법을 제안하기 위해.
• 적대적 공격 강도 평가 시 RMSE를 ℓ∞와 함께 표준 메트릭으로 도입하여 오해의 소지 있는 성능 주장을 방지하기 위해.

제안 방법

• 저자들은 공격 전이 가능성을 평가하기 위해 7개의 최적화 알고리즘, 4개의 서로가 모델, 9개의 블랙박스 타겟 모델을 사용해 종합적인 실험을 수행한다.
• 모든 공격에서 원본 예제와 적대적 예제 간의 RMSE를 측정하여 전이 가능성과의 상관관계를 분석한다.
• RMSE 감소와 전이 가능성 향상 간 강한 상관관계를 관찰한 바, 공격 과정에서 RMSE 감소를 명시적으로 최대화하는 LARA(Large RMSE Attack)를 설계한다.
• LARA는 표준 ℓ∞ 제약 조건보다 RMSE 최소화를 우선순위로 삼는 최적화 목표를 수정하여 더 전이 가능한 적대적 편향을 생성한다.
• 다양한 모델 아키텍처와 데이터셋을 대상으로 평가하여 연구 결과의 일반화를 확보한다.
• 저자들은 이중 메트릭 평가 프레임워크를 제안하며, 공정한 공격 벤치마킹을 위해 ℓ∞ 노름과 RMSE를 모두 보고할 것을 요구한다.

실험 결과

연구 질문

• RQ1 최적화 알고리즘의 선택이 다양한 블랙박스 모델 간 적대적 예제의 전이 가능성에 어떻게 영향을 미치는가?
• RQ2 원본 입력과 적대적 입력 간 루트 평균 제곱 오차(RMSE)가 공격의 전이 가능성과 어느 정도 상관관계가 있는가?
• RQ3 RMSE 감소를 명시적으로 목표로 삼는 새로운 공격 전략을 설계할 수 있는가?
• RQ4 왜 높은 RMSE 감소가 더 나은 전이 가능성을 초래하는가? 이는 공격 강도 평가에 어떤 함의를 갖는가?
• RQ5 적대적 강건성 평가에서 RMSE를 ℓ∞와 함께 표준 메트릭으로 도입하여 오해의 소지 있는 전이 가능성 주장 방지를 위해 필요한가?

주요 결과

• 어떤 최적화 알고리즘을 사용하든, 적대적 공격의 전이 가능성은 원본 입력에서의 RMSE 감소 정도와 강하게 상관관계가 있다.
• 원본 입력에서 낮은 RMSE 값을 기록하는 공격는 항상 더 높은 전이 가능성을 보이며, 예측할 수 없는 블랙박스 모델로의 전이가 빈도 높게 발생한다.
• RMSE 최소화를 목표로 하는 LARA 공격는 기존의 ℓ∞ 기반 공격 대비 전이 가능성을 20% 향상시킨다.
• 전이 가능성 향상에도 불구하고 LARA는 타겟 모델에 대한 성공률을 크게 증가시키지 않아, 전이 가능성만으로는 진정된 공격 강도를 반영하지 못한다는 점을 시사한다.
• 결과적으로 ℓ∞ 노름만으로 평가하는 것은 오해의 소지가 있으며, RMSE 감소 공격가 유도하는 진정한 취약성을 파악하지 못한다는 점을 시사한다.
• 이 연구는 이중 메트릭 평가 기준을 채택할 것을 촉구하며, 공격 성능을 공정하게 평가하고 전이 가능성의 과대평가를 방지하기 위해 ℓ∞와 RMSE를 모두 보고할 것을 요구한다.