[논문 리뷰] Model Extraction and Defenses on Generative Adversarial Networks

Hailong Hu, Jun Pang|arXiv (Cornell University)|2021. 01. 06.

Adversarial Robustness in Machine Learning참고 문헌 71인용 수 4

한 줄 요약

이 논문은 생성적 적대적 네트워크(GANs)에 대한 모델 추출 공격을 체계적으로 조사하며, 타겟 모델의 데이터 분포를 일치시키는 정확도 추출과 학습 데이터 분포를 일치시키는 충실도 추출을 구분한다. 공격자가 약 5만 건의 쿼리만으로 고품질의 GAN을 성공적으로 추출할 수 있음을 보여주며, 이를 새로운 도메인으로 이식할 수 있음을 입증한다. 또한 입력 및 출력 펌터베이션 기반 방어 기법—특히 의미적 보간법과 가우시안 노이즈—을 제안하여 성능을 안정화시키고 추출 공격을 저지하면서도 모델의 유용성은 유지한다.

ABSTRACT

Model extraction attacks aim to duplicate a machine learning model through query access to a target model. Early studies mainly focus on discriminative models. Despite the success, model extraction attacks against generative models are less well explored. In this paper, we systematically study the feasibility of model extraction attacks against generative adversarial networks (GANs). Specifically, we first define accuracy and fidelity on model extraction attacks against GANs. Then we study model extraction attacks against GANs from the perspective of accuracy extraction and fidelity extraction, according to the adversary's goals and background knowledge. We further conduct a case study where an adversary can transfer knowledge of the extracted model which steals a state-of-the-art GAN trained with more than 3 million images to new domains to broaden the scope of applications of model extraction attacks. Finally, we propose effective defense techniques to safeguard GANs, considering a trade-off between the utility and security of GAN models.

연구 동기 및 목표

• 생성적 적대적 네트워크(GANs)에 대한 모델 추출 공격의 가능성을 조사하며, 이는 분류 모델에 비해 아직 연구가 부족한 분야이다.
• 정확도 추출(타겟 모델의 생성된 분포를 일치시키는 것)과 충실도 추출(실제 학습 데이터 분포를 일치시키는 것)이라는 두 가지 다른 공격 목표를 정의하고 평가한다.
• 추출된 GAN 모델이 새로운 도메인으로 이식될 수 있음을 입증함으로써, 모델 추출의 실용적 영향을 넓힌다.
• 입력 펌터베이션(잠재 코드 조작)과 출력 펌터베이션(샘플 수준의 노이즈/필터링)을 기반으로 하는 두 가지 새로운 방어 전략을 제안하고 평가한다.
• 방어 기법의 성능과 안정성, 특히 쿼리 수 증가에 따른 내성에 중점을 두어, 모델의 유용성과 보안 간의 균형을 평가한다.

제안 방법

• 정확도 추출을 타겟 GAN의 생성된 데이터 분포를 쿼리 접근 또는 공개된 샘플만을 사용하여 일치시키는 것으로 정의한다.
• 충실도 추출을 진정된 학습 데이터 분포를 일치시키는 것으로 정의하며, 부분적인 실재 데이터나 타겟 판별기 정보와 같은 추가적인 배경 지식이 필요하다.
• CelebA 데이터셋에서 평가를 위해 프로그레시브 GAN(PGGAN)과 스펙트럴 정규화 GAN(SNGAN)을 타겟 모델로 사용한다.
• 의미적 보간을 통한 잠재 코드 조작을 통한 입력 펌터베이션 방어와, 무작위 노이즈, 적대적 노이즈, 필터링, JPEG 압축을 사용한 출력 펌터베이션 방어를 구현한다.
• FID 및 시각적 품질 지표를 사용하여, 공격자가 쿼리 또는 공개 샘플을 통해 접근하는 블랙박스 정확도 추출 환경에서 방어 기법을 평가한다.
• 지식 전이 기법을 적용하여, 추출된 GAN 모델이 새로운 도메인에서 미세조정되어 활용될 수 있음을 보여주며, 공격의 광범위한 적용 가능성을 검증한다.

실험 결과

연구 질문

• RQ1 GAN에 대한 모델 추출 공격는 효과적으로 수행될 수 있으며, 분류 모델에 대한 공격와는 어떻게 다를까?
• RQ2 공격자가 쿼리 접근 또는 공개 샘플만으로 GAN을 얼마나 정확하고 충실도 있게 추출할 수 있을까?
• RQ3 부분적인 실재 학습 데이터 또는 타겟 판별기 아키텍처에 접근할 경우, 추출된 모델의 충실도는 얼마나 향상되는가?
• RQ4 추출된 GAN 모델은 새로운 도메인으로 성공적으로 이식될 수 있으며, 이는 모델 보안에 어떤 영향을 미칠까?
• RQ5 어떤 방어 기법이 모델의 유용성과 성능을 유지하면서도 모델 추출을 효과적으로 완화할 수 있을까?

주요 결과

• 약 5만 건의 쿼리만으로도 GAN에 대한 모델 추출 공격가 가능하며, 타겟 모델의 생성된 데이터 분포를 일치시키는 데 있어 만족스러운 성능을 달성한다.
• 공격자가 부분적인 실재 학습 데이터 또는 타겟 판별기 정보에 접근할 경우, 충실도 추출은 모델 품질을 크게 향상시켜 진정된 데이터 분포와의 일치도를 높인다.
• 의미적 보간법과 가우시안 노이즈 방어 기법은 쿼리 수가 증가함에 따라 안정적인 성능을 보이며, 다른 방어 기법에 비해 강건성 면에서 뛰어나다.
• 적대적 노이즈 및 필터링 방어 기법은 쿼리 수가 증가함에 따라 효과가 떨어지며, 이는 적응형 공격자에 대한 취약성을 시사한다.
• 지식 전이 기법을 통해 추출된 GAN 모델은 성공적으로 새로운 도메인으로 이식될 수 있으며, 이는 모델 추출의 실제 위협 범위를 입증한다.
• 출력 펌터베이션 기반 방어 기법—특히 가우시안 노이즈와 JPEG 압축—은 생성 샘플의 통계적 일관성을 방해함으로써 공격 성공률를 감소시킨다.