[논문 리뷰] Harmonic Adversarial Attack Method

Wen Heng, Shuchang Zhou외 1명|arXiv (Cornell University)|2018. 07. 18.

Adversarial Robustness in Machine Learning참고 문헌 27인용 수 4

한 줄 요약

이 논문은 조화 함수를 사용하여 에 bordless(엣지 없는) 편향을 생성함으로써 시각적 품질을 유지하면서도 다양한 모델 간에 높은 전이성(transferability)을 확보하는 새로운 적대적 공격 기법인 조화 적대적 공격 방법(HAAM)을 제안한다. 편향의 라플라스 연산자(∇²φ = 0)를 0으로 강제함으로써 HAAM은 실제 세계의 조명과 그림자와 유사한 자연스러운 외관을 지닌 적대적 예제를 생성한다. 이는 기존 기준 방법 대비 뛰어난 시각적 품질과 강력한 전이성을 확보한다.

ABSTRACT

Adversarial attacks find perturbations that can fool models into misclassifying images. Previous works had successes in generating noisy/edge-rich adversarial perturbations, at the cost of degradation of image quality. Such perturbations, even when they are small in scale, are usually easily spottable by human vision. In contrast, we propose Harmonic Adversar- ial Attack Methods (HAAM), that generates edge-free perturbations by using harmonic functions. The property of edge-free guarantees that the generated adversarial images can still preserve visual quality, even when perturbations are of large magnitudes. Experiments also show that adversaries generated by HAAM often have higher rates of success when transferring between models. In addition, we find harmonic perturbations can simulate natural phenomena like natural lighting and shadows. It would then be possible to help find corner cases for given models, as a first step to improving them.

연구 동기 및 목표

• 적대적 공격에서 시각적 품질과 전이성 간의 상충 관계를 해결하기 위해.
• 엣지가 많고 노이즈가 많은 편향을 피하여 자연 이미지와 구별되지 않는 적대적 예제를 생성하기 위해.
• 실제 환경에서의 코너 케이스를 발견할 수 있도록 자연 조명과 그림자를 시뮬레이션하기 위해.
• 조화 함수를 활용해 현실적인 적대적 예제를 생성함으로써 모델의 강건성 평가를 향상시키기 위해.

제안 방법

• HAAM은 라플라스 방정식(∇²φ = 0)을 푸름으로써 편향을 생성하여 엣지 없는 매끄러운 편향을 보장한다.
• 조화 함수는 해석적 복소함수로부터 구성되며, 이는 매개변수의 엔드 투 엔드 학습을 가능하게 한다.
• 이 방법은 최대 오분류를 달성하면서도 낮은 공간 주파수를 유지하는 방식으로, 미분 가능한 최적화 프레임워크를 사용한다.
• 편향 보존 및 시각적 품질 측정을 위해 라플라시안 맵과 Edge-SSIM을 활용한다.
• 시각적 자연스러움을 탐색하기 위해 두 가지 변형, HAAM-g(grayscale)와 HAAM-c(color)를 도입한다.
• 이 방법은 조명 기울기와 그림자와 같은 자연 현상을 시뮬레이션할 수 있으며, 모델의 스트레스 테스트에 유용하다.

실험 결과

연구 질문

• RQ1 편향에 눈에 띄는 엣지를 도입하지 않고도 시각적 자연스러움을 향상시킬 수 있는가?
• RQ2 엣지 없는 편향을 생성함으로써 적대적 예제의 전이성이 다양한 모델 간에 향상되는가?
• RQ3 조화 함수를 사용해 실제 세계의 시각적 현상, 예를 들어 자연 조명과 그림자를 적대적 예제에 시뮬레이션할 수 있는가?
• RQ4 통제된 인간 평가 하에서 HAAM가 생성한 예제의 시각적 품질은 기존 방법 대비 어떻게 비교되는가?
• RQ5 HAAM가 생성한 예제는 딥 네URAL 네트워크 동작에서 이전에 발견되지 않은 코너 케이스를 드러내는가?

주요 결과

• HAAM-g는 FGSM에 대비한 주관적 시각적 품질 비교에서 96%의 승률을 기록하여 더 뛰어난 인지적 품질을 입증했다.
• HAAM-c는 FGSM에 대비해 97%의 주관적 비교에서, BIM에 대비해 98%의 주관적 비교에서 모든 기준을 초월했다.
• Edge-SSIM 지표에서 HAAM는 모든 타겟 모델과 Edge-SSIM 점수 버킷에서 다른 모든 방법보다 일관되게 뛰어났다.
• HAAM가 생성한 적대적 예제의 99% 이상이 Edge-SSIM 점수 [0.8, 1.0) 범위에 속해 있어 강력한 엣지 보존과 자연스러운 외관을 입증했다.
• 특히 Edge-SSIM 제약 조건 하에서, HAAM는 SSIM > 0.933인 고시각적 품질 서브셋에서 FGSM 및 BIM보다 더 높은 전이성을 보였다.
• 큰 ε 값으로 생성된 적대적 예제에서는 평탄한 배경(예: 하늘, 바다)에서 비자연스러운 패턴이 나타나는 것으로 나타나, 이러한 상황에서는 한계가 있음을 시사했다.