[논문 리뷰] On Improving Adversarial Transferability of Vision Transformers

Muzammal Naseer, Kanchana Ranasinghe외 3명|arXiv (Cornell University)|2021. 06. 08.

Adversarial Robustness in Machine Learning참고 문헌 54인용 수 11

한 줄 요약

이 논문은 시각 Transformer(ViTs)에서 적대적 예제의 블랙박스 전이성(transferability)을 크게 향상시키기 위한 새로운 공격 방법을 제안한다. ViTs의 계층적 구조를 활용하여 모든 블록의 클래스 토큰을 자기-앙상블(self-ensemble)하고, 이러한 토큰들을 구조적 패치 정보로 정제함으로써 분류 능력을 향상시키고, 다양한 모델과 데이터셋에서 최신 기준을 달성한다.

ABSTRACT

Vision transformers (ViTs) process input images as sequences of patches via self-attention; a radically different architecture than convolutional neural networks (CNNs). This makes it interesting to study the adversarial feature space of ViT models and their transferability. In particular, we observe that adversarial patterns found via conventional adversarial attacks show very \emph{low} black-box transferability even for large ViT models. We show that this phenomenon is only due to the sub-optimal attack procedures that do not leverage the true representation potential of ViTs. A deep ViT is composed of multiple blocks, with a consistent architecture comprising of self-attention and feed-forward layers, where each block is capable of independently producing a class token. Formulating an attack using only the last class token (conventional approach) does not directly leverage the discriminative information stored in the earlier tokens, leading to poor adversarial transferability of ViTs. Using the compositional nature of ViT models, we enhance transferability of existing attacks by introducing two novel strategies specific to the architecture of ViT models. (i) Self-Ensemble: We propose a method to find multiple discriminative pathways by dissecting a single ViT model into an ensemble of networks. This allows explicitly utilizing class-specific information at each ViT block. (ii) Token Refinement: We then propose to refine the tokens to further enhance the discriminative capacity at each block of ViT. Our token refinement systematically combines the class tokens with structural information preserved within the patch tokens.

연구 동기 및 목표

• 강력한 일반화 능력과 성능를 보이는 고성능 ViT 모델이 청소년 데이터에서 강력한 성능를 보임에도 불구하고 낮은 적대적 전이성을 보이는 이유를 탐구한다.
• 기존 방법에서 최종 클래스 토큰만 사용하는 부적절한 공격 절차가 중간 단계의 분류 기능을 간과한다는 문제를 해결한다.
• ViTs의 모듈식이고 다중 블록 아키텍처를 활용해 전이성을 향상시키는 더 효과적인 공격 전략을 설계한다.
• ViTs에서의 적대적 전이성 문제의 근본 원인이 모델의 내재적 한계가 아니라 공격 설계에 있음을 입증한다.
• 제안된 방법을 CNNs로 확장하여 일반화 능력을 평가하고, ViTs에 비해 성능 향상은 있으나 영향력은 낮은 결과를 도출한다.

제안 방법

• ViT의 모든 트랜스포머 블록에서 클래스 토큰을 추출하고, 이를 각각 독립된 분류기로 간주하는 자기-앙상블 공격 전략을 제안한다.
• 클래스 토큰과 패치 토큰으로부터의 구조적 정보를 조합하여 각 블록에서의 분류 능력을 향상시키는 토큰 정제 메커니즘을 도입한다.
• 모든 블록의 정제된 클래스 토큰을 사용해 분류기 앙상블을 구성함으로써, 계층적 특징 표현을 공격이 활용할 수 있도록 한다.
• 정제된 앙상블에 입력 다양성과 반복 최적화(DIM 등)를 적용하여 더 전이성이 높은 적대적 편향을 생성한다.
• 차원을 일치시키기 위해 중간 특징을 미세조정함으로써, CNNs에 이 방법을 적용하여 유사한 자기-앙상블 접근법을 가능하게 한다.
• 정제된 앙상블을 공격 최적화 과정의 목적 함수로 사용하여, 알려지지 않은 타겟 모델을 더욱 효과적으로 속이도록 한다.

실험 결과

연구 질문

• RQ1 고성능 ViT 모델이 청소년 데이터에서 강력한 성능를 보임에도 불구하고 낮은 블랙박스 적대적 전이성을 보이는 이유는 무엇인가?
• RQ2 기존의 공격 전략—최종 클래스 토큰에만 초점을 맞춘 전략—이 ViTs의 적대적 잠재력에 얼마나 큰 제한을 둔다?
• RQ3 ViTs의 계층적 구조를 활용하여 더 전이성이 높은 적대적 예제를 만들 수 있는가?
• RQ4 토큰 정제가 적대적 공격을 위한 중간 표현의 분류 능력을 어떻게 향상시키는가?
• RQ5 제안된 방법은 다른 아키텍처, 예를 들어 CNNs로 일반화 가능한가? 그리고 다양한 모델 유형 간 성능 비교는 어떻게 이루어지는가?

주요 결과

• 제안된 정제된 토큰을 사용한 자기-앙상블은 표준 공격 대비 ImageNet에서 29.6%의 상대적 전이성 향상을 달성하며, ε ≤ 16 조건에서 92.42%의 속임당할 확률을 기록한다.
• 이 방법은 ResNet-152에서 최대 18.7%p, ViT-Base에서 13.1%p까지 전이성을 향상시켜 다양한 모델 간 강력한 일반화 능력을 입증한다.
• 단독으로 토큰 정제를 적용할 경우, 다양한 ViT 변종에서 전이성은 12.2~24.3%p 향상되어, 특징의 분류 기반 능력을 향상시키는 데 효과적임을 입증한다.
• 정제된 토큰을 사용한 자기-앙상블은 CvT-S에서 28.8%의 상대적 향상, CvT-T에서 28.5%의 향상을 기록하여 ViT 아키텍처 전반에서 일관된 성과를 보였다.
• ResNet50와 같은 CNNs로도 이 방법을 적용할 수 있지만, 상대적 성과 향상은 훨씬 낮은 편(29.6% 대비 약 20%)이어서 ViT 아키텍처에 더 적합함을 시사한다.
• DeiT-S에서 ε ≤ 16 조건에서 공격 성공률이 92.42%에 도달하여, 표준 DIM 및 DIM-E 기반선 대비 18%p 이상 뛰어나, 이 방법의 효과성을 확인한다.