[논문 리뷰] Is feature selection secure against training data poisoning?

Xiao Huang, Battista Biggio외 4명|arXiv (Cornell University)|2018. 04. 21.

Network Security and Intrusion Detection참고 문헌 40인용 수 287

한 줄 요약

본 논문은 독성(오염) 공격하에서 임베디드 특성 선택 방법(LASSO, ridge, elastic net)의 강건성을 평가하는 프레임워크를 제공하고, 오염 데이터가 <5%일 때 LASSO가 거의 무작위 특성 선택으로 치우질 수 있으며 정확도가 크게 저하된다고 보여준다.

ABSTRACT

Learning in adversarial settings is becoming an important task for application domains where attackers may inject malicious data into the training set to subvert normal operation of data-driven technologies. Feature selection has been widely used in machine learning for security applications to improve generalization and computational efficiency, although it is not clear whether its use may be beneficial or even counterproductive when training data are poisoned by intelligent attackers. In this work, we shed light on this issue by providing a framework to investigate the robustness of popular feature selection methods, including LASSO, ridge regression and the elastic net. Our results on malware detection show that feature selection methods can be significantly compromised under attack (we can reduce LASSO to almost random choices of feature sets by careful insertion of less than 5% poisoned training samples), highlighting the need for specific countermeasures.

연구 동기 및 목표

• 보안에 중요한 작업에서 적대적 데이터 조작 하의 특징 선택의 강건성 연구를 동기화한다.
• 특성 선택을 위한 공격자 목표, 지식, 능력의 모델링 프레임워크를 개발한다.
• 임베디드 특성 선택 방법(LASSO, ridge, elastic net)에 대한 오염 공격을 분석하고 선택 및 분류에 미치는 영향을 정량화한다.
• PDF 맬웨어 등 악성코드 탐지 사례 연구를 통해 실용적 시사점을 제시하고 대응책을 논의한다.

제안 방법

• 특성 선택에 대한 공격자 목표, 지식, 능력 정의를 포함하도록 이전의 보안 평가를 확장하는 프레임워크를 제시한다.
• 손실을 최소화하고 정규화를 통해 가중치 w로 하위 집합을 선택하는 특성 선택을 모델링한다(Eq. 2).
• 훈련 데이터에 공격 포인트를 추가하고 목표를 최적화하여 오점을 극대화하는 오염(공격)을 공식화한다(Eq. 3).
• 학습 해를 미분하고 KKT 기반 조정을 통해 오염 공격의 그래디언트를 유도한다(Eq. 7).
• 다수의 공격 포인트를 조정하되 실현 가능한 도메인을 유지하는 반복적인 오염 알고리즘(Algorithm 1)을 제시한다.
• 대리 데이터(LK) 설정을 적용하고 PDF 맬웨어 탐지 맥락에서 PK/LK 등가를 검증한다.

실험 결과

연구 질문

• RQ1 임베디드 특성 선택 방법(LASSO, ridge, elastic net)은 훈련 데이터 오염에 얼마나 취약한가?
• RQ2 오염이 특성 선택의 안정성과 최종 분류 정확도에 어떤 영향을 미치는가?
• RQ3 공격자의 지식(완전 대 제한)이 특징 선택 오염 공격의 효과성에 큰 차이를 만들는가?
• RQ4 고차원의 보안 과제에서 어떤 정규화 방법이 오염 하에서 더 큰 강건성을 보이는가?
• RQ5 오염이 상위 순위 특성의 안정성(안정성 지수로 측정)에 어떤 영향을 미치는가?

주요 결과

• 훈련 데이터의 최대 20% 오염은 LASSO의 오차를 2%에서 약 20%로 증가시킨다.
• Elastic net과 ridge는 오염 하에서 LASSO보다 약간 더 나은 강건성을 보인다.
• 오염은 선택된 특징의 안정성을 급격히 감소시키며, LASSO와 Elastic net의 안정성 지수가 낮은 오염 수준에서도 0에 근접한다.
• 공격 하에 특성 선택은 거의 무작위가 될 수 있으며, 공격자가 선택된 특징을 제어할 수 있게 된다.
• 세 방법 중에서 ridge 회귀가 분석된 세 방법 중 더 높은 강건성을 보인다.
• PK와 LK 설정의 결과가 유사하여 대리 데이터가 전체 데이터 접근 없이도 효과적인 오염을 가능하게 한다.