[논문 리뷰] Perceptual Quality-preserving Black-Box Attack against Deep Learning Image Classifiers

Diego Gragnaniello, Francesco Marra외 2명|arXiv (Cornell University)|2019. 02. 20.

Adversarial Robustness in Machine Learning인용 수 6

한 줄 요약

이 논문은 깊이 학습 이미지 분류기 대상으로 인식 품질 유지를 위한 흑상자 공격(PQP)을 제안한다. 이 방법은 품질 영향이 최소이지만 분류에 가장 큰 영향을 미치는 영역, 즉 낮은 SSIM 기울기 영역에만 적대적 노이즈를 주입한다. 경량 CNN을 활용해 SSIM 기울기를 효율적으로 계산하고, 편향을 8비트 정수 형식으로 제한함으로써, 최소한의 왜곡으로 높은 공격 성공률을 달성하며, 벤치마크 데이터셋과 실제 생물정보 시스템 모두에서 기존 방법을 능가한다.

ABSTRACT

Deep neural networks provide unprecedented performance in all image classification problems, taking advantage of huge amounts of data available for training. Recent studies, however, have shown their vulnerability to adversarial attacks, spawning an intense research effort in this field. With the aim of building better systems, new countermeasures and stronger attacks are proposed by the day. On the attacker's side, there is growing interest for the realistic black-box scenario, in which the user has no access to the neural network parameters. The problem is to design efficient attacks which mislead the neural network without compromising image quality. In this work, we propose to perform the black-box attack along a low-distortion path, so as to improve both the attack efficiency and the perceptual quality of the adversarial image. Numerical experiments on real-world systems prove the effectiveness of the proposed approach, both in benchmark classification tasks and in key applications in biometrics and forensics.

연구 동기 및 목표

• 높은 인식 품질을 유지하면서도 강력한 공격 성공률을 달성하는 흑상자 적대적 공격을 개발한다.
• 편향이 시각적 영향은 낮지만 분류에 큰 영향을 미치는 이미지 영역을 식별하고 이를 악용한다.
• PNG, JPG 등 8비트 정수 이미지 형식만 허용하는 실제 시스템에 효과적으로 공격할 수 있도록 한다.
• 특히 반자동 생물정보 시스템에서 자연스러운 보이지 않는 적대적 샘플을 유지하면서 쿼리 복잡도를 줄인다.
• 공격 효율성이나 이미지 품질을 희생시키지 않고 방어 전략에 대비한 강건성을 향상시킨다.

제안 방법

• 구조적 유사도 지수(SSIM)의 기울기를 기반으로 편향 방향을 선택하여, 인식 왜곡이 최소인 영역을 식별한다.
• 백프로파게이션을 통해 실시간 기울기 추정을 가능하게 하며, 최소한의 계산 비용으로 효율적인 SSIM 기울기 계산을 위한 전용 경량 CNN을 학습시킨다.
• 편향을 SSIM 기울기 크기가 낮은 영역에 제한함으로써 시각적 왜곡을 최소화한다.
• 흑상자 환경에 적합한 유한 차분을 통한 기울기 추정을 활용한 쿼리 기반 최적화 전략을 사용한다.
• 모든 편향과 쿼리는 공통 이미지 형식과 실제 시스템과의 호환성을 확보하기 위해 8비트 정수 값으로 제한된다.
• 특정 오분류를 고도로 확신하며, 수정된 기울기 상승 방식을 반복적으로 적용하여 공격를 정교화한다.

실험 결과

연구 질문

• RQ1 낮은 SSIM 기울기 영역을 공격함으로써 적대적 공격의 효과성과 인식 가능성을 높일 수 있는가?
• RQ2 실시간 흑상자 공격에 적합한 경량 CNN을 활용해 SSIM 기울기를 효율적으로 계산할 수 있는가?
• RQ3 낮은 SSIM 기울기 영역에 편향을 제한함으로써 공격 성공률을 떨어뜨리지 않고도 인식 품질을 향상시킬 수 있는가?
• RQ4 8비트 정수 이미지 형식과 방어 메커니즘과 같은 실제 제약 조건 하에서 제안된 방법의 성능은 어떠한가?
• RQ5 쿼리 효율성, 공격 성공률, 이미지 품질 지표 측면에서 기존 쿼리 기반 흑상자 공격을 능가할 수 있는가?

주요 결과

• ImageNet-1K 벤치마크에서 PQP는 18,244회의 쿼리로 100%의 공격 성공률를 달성했으며, I-FGSM(WB) 및 IFD보다 쿼리 효율성과 SSIM(0.973 대비 0.968 및 0.964) 모두에서 뛰어난 성능을 보였다.
• MCS2018 얼굴 인식 데이터셋에서 PQP는 14,620회의 쿼리로 100%의 성공률와 SSIM 0.977을 기록했으며, IGE-QR-RG(0.912) 및 IFD(0.964)를 크게 능가했다.
• 시각적 분석 결과, PQP가 생성한 적대적 이미지는 강한 노이즈 조건에서도 왜곡이 최소이며 자연스럽고 이상한 패턴이 없었고, 다른 방법은 눈에 띄는 아티팩트와 색상 왜곡을 유발했다.
• 모든 테스트 조건에서 PQP는 높은 인식 품질을 유지했으며, PSNR 값은 35.0 이상, PIQE 점수는 15.24 이하를 기록해 낮은 왜곡과 자연스러운 외관을 나타냈다.
• 방어 전략과 8비트 정수 제약 조건 하에서도 PQP는 뛰어난 성능을 유지해 강건성과 실용성을 입증했다.
• MCS2018 데이터셋에서 γ=1.0일 때 PQP는 13.44의 PIQE 점수를 기록했으며, 다른 방법들(예: I-FGSM은 23.16, IFD는 22.34)에 비해 열등한 인식 품질을 보였다.