[논문 리뷰] Is Semantic Communications Secure? A Tale of Multi-Domain Adversarial Attacks

Yalin E. Sagduyu, Tugba Erpek외 2명|arXiv (Cornell University)|2022. 12. 20.

Adversarial Robustness in Machine Learning인용 수 8

한 줄 요약

이 논문은 자동에코더를 사용한 딥러닝 기반 의미 통신 시스템을 제안하며, 통합 소스-채널 인코딩과 의미 작업 분류기로 의미를 전송 중에 유지한다. 다중 도메인 적대적 공격—동시적으로 입력 이미지(컴퓨터 비전 도메인)와 무선 신호(무선 도메인)를 대상으로 하는 공격—가 낮은 전력의 변형을 가해도 의미 정확도를 심각하게 떨어뜨릴 수 있음을 보여주며, 딥러닝 기반 의미 통신에서의 심각한 보안 취약점을 드러낸다.

ABSTRACT

Semantic communications seeks to transfer information from a source while conveying a desired meaning to its destination. We model the transmitter-receiver functionalities as an autoencoder followed by a task classifier that evaluates the meaning of the information conveyed to the receiver. The autoencoder consists of an encoder at the transmitter to jointly model source coding, channel coding, and modulation, and a decoder at the receiver to jointly model demodulation, channel decoding and source decoding. By augmenting the reconstruction loss with a semantic loss, the two deep neural networks (DNNs) of this encoder-decoder pair are interactively trained with the DNN of the semantic task classifier. This approach effectively captures the latent feature space and reliably transfers compressed feature vectors with a small number of channel uses while keeping the semantic loss low. We identify the multi-domain security vulnerabilities of using the DNNs for semantic communications. Based on adversarial machine learning, we introduce test-time (targeted and non-targeted) adversarial attacks on the DNNs by manipulating their inputs at different stages of semantic communications. As a computer vision attack, small perturbations are injected to the images at the input of the transmitter's encoder. As a wireless attack, small perturbations signals are transmitted to interfere with the input of the receiver's decoder. By launching these stealth attacks individually or more effectively in a combined form as a multi-domain attack, we show that it is possible to change the semantics of the transferred information even when the reconstruction loss remains low. These multi-domain adversarial attacks pose as a serious threat to the semantics of information transfer (with larger impact than conventional jamming) and raise the need of defense methods for the safe adoption of semantic communications.

연구 동기 및 목표

• 딥러닝 기반 의미 통신 시스템의 적대적 공격에 대한 보안 취약점을 조사한다.
• 입력 데이터와 무선 전송 단계를 동시에 악용하는 다중 도메인 적대적 위협을 식별하고 분석한다.
• 테스트 시점의 적대적 공격(타겟 지정 및 비타겟 지정)이 의미 분류 성능에 미치는 영향을 평가한다.
• 낮은 전력, 은밀한 적대적 변형이 낮은 복원 오차를 유지하면서도 의미 손실을 크게 유발할 수 있음을 입증한다.
• 미래의 O-RAN 및 AI 기반 통신 시스템에서 이러한 공격에 대비한 방어 기법의 긴급한 필요성을 강조한다.

제안 방법

• 딥 오토에코더 프레임워크를 제안하며, DNN 인코더(통합 소스/채널 인코딩/모odulation)와 DNN 디코더(통합 디모듈레이션/채널/소스 디코딩)를 포함한다.
• 의미 보존 정도를 평가하기 위해 별도의 DNN 기반 의미 작업 분류기를 통합하고, 분류기 오차를 기반으로 의미 손실을 정의한다.
• 재구성 손실(MSE 등)과 의미 손실을 조합한 복합 손실 함수를 사용해 오토에코더와 의미 분류기를 함께 훈련한다.
• 테스트 시점의 적대적 공격을 적용한다: (1) 입력 이미지에 대한 소량의 변형(컴퓨터 비전 공격), (2) 무선 채널에 삽입된 적대적 신호(무선 공격).
• 송신기 입력과 공기 중 신호에 동시에 두 가지 변형 유형을 조합하여 다중 도메인 공격을 수행한다.
• 다양한 신호 대 잡음비(SNR)와 변형 대 잡음비(PNR) 조건에서 분류기 정확도 저하 정도를 통해 공격 성공 여부를 평가한다.

실험 결과

연구 질문

• RQ1 입력 이미지에 변형을 가하는 컴퓨터 비전 도메인의 적대적 공격은 의미 통신 시스템에 얼마나 효과적인가?
• RQ2 전송 신호에 변형을 주는 무선 도메인의 적대적 공격은 얼마나 효과적인가?
• RQ3 컴퓨터 비전 도메인과 무선 도메인의 적대적 공격을 병합한 다중 도메인 공격은 의미 정확도에 어떤 영향을 미치는가?
• RQ4 낮은 전력의 적대적 변형이 의미 성능을 크게 떨어뜨리면서도 낮은 재구성 손실을 유지할 수 있는가?
• RQ5 전력 효율성과 공격 효과성 측면에서 전통적인 가우시안 노이즈 잡음 공격에 비해 적대적 공격의 성능은 어떻게 비교되는가?

주요 결과

• 입력 이미지와 전송 신호를 동시에 변형하는 다중 도메인 적대적 공격이 가장 높은 공격 성공률을 기록하며, 의미 분류기 정확도를 심각하게 떨어뜨린다.
• 낮은 변형 전력(낮은 PNR) 조건에서도 다중 도메인 공격이 빠르게 의미 성능을 떨어뜨리며, 훨씬 더 높은 전력이 필요한 전통적 가우시안 노이즈 잡음 공격보다 뛰어난 성능을 보인다.
• 무선 도메인의 비타겟 지정 적대적 공격은 PNR이 매우 낮은 상태에서 5 dB SNR 조건에서도 분류기 정확도를 크게 떨어뜨려, 높은 은밀성과 효율성을 입증한다.
• 컴퓨터 비전 도메인과 무선 도메인의 공격 조합은 전체 적대적 영향을 증폭시키며, 단일 도메인 공격보다 공격에 필요한 PNR을 크게 낮춘다.
• 낮은 재구성 손실(신호 복원이 양호함)에도 불구하고 의미 손실은 극적으로 증가하여, 신호 정밀도가 유지되더라도 의미의 무결성이 손상될 수 있음을 보여준다.
• 결과적으로 의미 통신 시스템은 딥러닝 기반 처리를 다중 통신 도메인에서 악용하는 은밀하고 낮은 전력의 적대적 조작에 취약함을 시사한다.