[논문 리뷰] Keeping the Bad Guys Out: Protecting and Vaccinating Deep Learning with JPEG Compression

Nilaksh Das, Madhuri Shanbhogue외 5명|arXiv (Cornell University)|2017. 05. 08.

Adversarial Robustness in Machine Learning참고 문헌 22인용 수 242

한 줄 요약

논문은 JPEG 압축을 이미지 분류기의 적대적 공격에 대한 전처리 방어로 제시하고, 압축된 이미지로 학습하는 백신화(Vaccination) 전략과 모델 앙상블을 도입해 FGSM과 DeepFool 같은 공격에 견고하게 대응한다.

ABSTRACT

Deep neural networks (DNNs) have achieved great success in solving a variety of machine learning (ML) problems, especially in the domain of image recognition. However, recent research showed that DNNs can be highly vulnerable to adversarially generated instances, which look seemingly normal to human observers, but completely confuse DNNs. These adversarial samples are crafted by adding small perturbations to normal, benign images. Such perturbations, while imperceptible to the human eye, are picked up by DNNs and cause them to misclassify the manipulated instances with high confidence. In this work, we explore and demonstrate how systematic JPEG compression can work as an effective pre-processing step in the classification pipeline to counter adversarial attacks and dramatically reduce their effects (e.g., Fast Gradient Sign Method, DeepFool). An important component of JPEG compression is its ability to remove high frequency signal components, inside square blocks of an image. Such an operation is equivalent to selective blurring of the image, helping remove additive perturbations. Further, we propose an ensemble-based technique that can be constructed quickly from a given well-performing DNN, and empirically show how such an ensemble that leverages JPEG compression can protect a model from multiple types of adversarial attacks, without requiring knowledge about the model.

연구 동기 및 목표

• 이미지 분류에서의 적대적 교란에 대한 단순하고 모델에 구애받지 않는 방어를 제시하려는 동기를 부여한다.
• 양성 이미지 정확도에 해를 주지 않으면서 적대적 노이즈를 제거하기 위한 전처리 단계로서 JPEG 압축을 평가한다.
• 강건성을 향상시키기 위해 JPEG 압축 이미지로의 학습(백신화)을 제안한다.
• 공격의 전이성(전이성)을 완화하기 위해 다중 JPEG 품질 수준에 걸친 백신화된 모델의 앙상블을 개발한다.

제안 방법

• 분류 전에 전처리 단계로 다양한 품질 수준의 JPEG 압축을 적용한다.
• CIFAR-10 및 GTSRB 데이터셋에서 FGSM 및 DeepFool 공격에 대해 평가한다.
• 품질 수준 100에서 20까지의 JPEG 압축 이미지에 대해 모델의 변형(백신화)을 학습시킨다.
• 여러 JPEG 품질에 걸친 백신화된 모델 앙상블을 구축해 예측에 다수결을 하고 공격 영향력을 감소시킨다.

실험 결과

연구 질문

• RQ1 분류 전에 JPEG 압축이 CIFAR-10 및 GTSRB에서 적대적 공격의 효과를 감소시키는가?
• RQ2 JPEG 압축 이미지로 모델을 학습하는 것(백신화)이 적대적 섭동에 대한 강건성을 개선할 수 있는가?
• RQ3 다른 JPEG 품질 전반에 걸친 백신화된 모델의 앙상블이 단일 모델보다 더 강력한 방어를 제공하는가?
• RQ4 JPEG 품질이 양성 정확도와 적대적 탄력성에 어떻게 영향을 미치는가?

주요 결과

• JPEG 압축은 CIFAR-10 및 GTSRB에서 FGSM 및 DeepFool 공격을 대응할 수 있으며, 더 큰 압축이 처음에는 공격 성공률을 줄이는 경향이 있다.
• JPEG 압축 이미지로 학습하여 모델을 백신화하면 적대적 테스트 세트 전반에서 강건성이 향상된다.
• 여러 품질 수준의 JPEG로 압축된 이미지에 대해 예측에 다수결하는 백신화된 모델 앙상블은 원래 모델에 비해 공격 하에서의 잘못 분류를 현저히 감소시킨다.
• CIFAR-10에서 앙상블은 공격 하의 정확도를 각각 28.97%(FGSM) 및 27.44%(DeepFool)에서 79.57% 및 82.71%로 크게 향상시킨다.
• GTSRB에서 앙상블은 41.00%(FGSM) 및 68.19%(DeepFool)에서 각각 73.37% 및 91.70%로 견고성이 향상된다.
• 저품질 JPEG은 JPEG 아티팩트로 인해 일부 데이터셋(특히 CIFAR-10)에서 양성 정확도를 감소시킬 수 있으며, 더 큰 이미지인 GTSRB은 악화가 더 덜 나타난다.