[논문 리뷰] Image Shortcut Squeezing: Countering Perturbative Availability Poisons with Compression

Zhuoran Liu, Zhengyu Zhao외 1명|arXiv (Cornell University)|2023. 01. 31.

Adversarial Robustness in Machine Learning인용 수 5

한 줄 요약

이 논문은 흐린 가용성 독성(Perturbative Availability Poisons, PAPs)으로 인한 모델 정확도 저하를 효과적으로 복구하는 간단한 압축 기반 방법인 이미지 숏컷 스위징(Image Shortcut Squeezing, ISS)을 제안한다. PAP 노이즈의 주파수 의존성—약간 훈련된 대체 모델에서는 저주파수, 완전히 훈련된 모델에서는 고주파수—을 활용하여, GREYSCALE 및 JPEG 압축을 통해 이러한 숏컷을 제거한다. 이로 인해 CIFAR-10 정확도가 81.73%에 도달하며, 이는 이전의 대비 조치보다 37.97%포인트 높고, 일반화 능력과 효율성 면에서 적대적 훈련보다 뛰어나다.

ABSTRACT

Perturbative availability poisons (PAPs) add small changes to images to prevent their use for model training. Current research adopts the belief that practical and effective approaches to countering PAPs do not exist. In this paper, we argue that it is time to abandon this belief. We present extensive experiments showing that 12 state-of-the-art PAP methods are vulnerable to Image Shortcut Squeezing (ISS), which is based on simple compression. For example, on average, ISS restores the CIFAR-10 model accuracy to $81.73\%$, surpassing the previous best preprocessing-based countermeasures by $37.97\%$ absolute. ISS also (slightly) outperforms adversarial training and has higher generalizability to unseen perturbation norms and also higher efficiency. Our investigation reveals that the property of PAP perturbations depends on the type of surrogate model used for poison generation, and it explains why a specific ISS compression yields the best performance for a specific type of PAP perturbation. We further test stronger, adaptive poisoning, and show it falls short of being an ideal defense against ISS. Overall, our results demonstrate the importance of considering various (simple) countermeasures to ensure the meaningfulness of analysis carried out during the development of PAP methods.

연구 동기 및 목표

• Perturbative Availability Poisons(PAPs)에 대해 실용적이고 효과적인 대비 조치가 존재하지 않는다는 널리 퍼진 믿음을 도전하기 위해.
• 12종의 최신 PAP 방법이 단순한 이미지 압축 기법에 얼마나 취약한지 조사하기 위해.
• 독성 생성 시 사용된 대체 모델 유형에 따라 PAP 노이즈 주파수의 의존성을 밝혀내기 위해.
• 일반화 가능하고 효율적이며 정확도 손실가 장해가 적은 PAP에 대한 대비 조치를 개발하기 위해.
• 제안된 ISS 방어에 대응해 설계된 적응형 ISS 인식 PAP 방법의 강건성을 평가하기 위해.

제안 방법

• 독성 생성 시 사용된 대체 모델 유형에 따라 12종의 PAP 방법을 분류: 약간 훈련된, 완전히 훈련된, 대체 모델 없음.
• PAP 노이즈의 주파수 특성 분석을 통해, 약간 훈련된 대체 모델은 저주파수 숏컷을 생성하고, 완전히 훈련된 모델은 고주파수 숏컷을 생성함을 보여줌.
• 저주파수 숏컷 제거를 위한 회색조 압축과 고주파수 숏컷 제거를 위한 JPEG 압축을 적용하는 전처리 방어 기법인 이미지 숏컷 스위징(ISS)을 제안.
• 분포 이탈을 방지하기 위해 훈련 데이터에만 ISS를 적용하고, 훈련 및 테스트 데이터의 압축 변형에 대한 성능을 평가.
• 저주파수 및 고주파수 노이즈의 조합(예: EM 및 TAP)을 사용해 혼합 노이즈 공격에 대한 ISS의 강건성 테스트.
• ISS를 회피하기 위해 설계된 적응형 PAP 방법에 대해 평가하여 그 효과성과 모델 학습 선호도에 대한 통찰을 도출.

실험 결과

연구 질문

• RQ1 현존하는 최신 PAP 방법들이, 효과적인 대비 조치가 존재하지 않는다는 일반적인 믿음에도 불구하고 단순한 이미지 압축에 취약한가?
• RQ2 독성 생성 시 사용된 대체 모델의 유형이 PAP 노이즈 주파수 특성에 어떻게 영향을 미치는가?
• RQ3 다양한 주파수 특성을 가진 PAP 방법을 효과적으로 대비할 수 있는 단일 압축 기반 방법이 가능한가?
• RQ4 ISS는 다양한 Lp 노름에 대해 일반화 능력과 정확도 손실의 상호 간의 트레이드오프 면에서 적대적 훈련과 비교해 어떻게 성능을 내는가?
• RQ5 ISS를 사전에 고려해 설계된 적응형 PAP 방법이 여전히 탐지 회피가 가능할 수 있으며, 이는 모델 학습 선호도에 대해 어떤 통찰을 제공하는가?

주요 결과

• ISS를 오염된 데이터에 적용했을 때 CIFAR-10 모델 정확도가 평균 81.73%로 복원되며, 이는 이전 최고의 전처리 기반 대비 조치보다 37.97%포인트 높다.
• ISS는 데이터 증강 및 사전 필터링 대비 조치보다 뛰어나며, 상당히 높은 일반화 능력으로 적대적 훈련과 유사한 성능을 달성한다.
• 훈련 데이터에만 ISS를 적용해도 분포 이탈이 최소화되어, 테스트 데이터도 압축했을 때 거의 동일한 성능를 보이며 높은 효과성을 유지한다.
• 재학습이 필요 없고 계산 오버헤드도 최소화되어 있어 매우 효율적이며, 높은 훈련 비용을 수반하는 적대적 훈련과는 대조된다.
• ISS를 회피하기 위해 설계된 적응형 PAP 방법조차도 높은 독성 효과를 유지하지 못함을 확인하여, ISS는 여전히 강력한 방어 수단임을 입증한다.
• 연구 결과, PAP 노이즈는 대체 모델의 훈련 단계에 강하게 의존하며, 약간 훈련된 모델은 저주파수 숏컷을 선호하고, 완전히 훈련된 모델은 고주파수 숏컷을 선호함을 밝혀냈다.