[논문 리뷰] Protecting Neural Networks with Hierarchical Random Switching: Towards Better Robustness-Accuracy Trade-off for Stochastic Defenses

Xiao Wang, Siyue Wang외 5명|arXiv (Cornell University)|2019. 08. 20.

Adversarial Robustness in Machine Learning참고 문헌 15인용 수 8

한 줄 요약

이 논문은 계층적 블록 간에 무작위로 채널을 전환하는 방식으로 신경망의 내성적 저항성-정확도 트레이드오프를 향상시키는 새로운 스토하스틱 방어 기법인 계층적 무작위 스위칭(HRS)을 제안한다. HRS는 기존의 방법들보다 훨씬 높은 방어 효율성 점수(DES)를 달성하여 화이트박스 및 적응형 공격에 대해 스토하스틱 방어 및 적대적 훈련을 능가하며, 적대적 프로그래밍에 대한 첫 번째 효과적인 방어이기도 하다.

ABSTRACT

Despite achieving remarkable success in various domains, recent studies have uncovered the vulnerability of deep neural networks to adversarial perturbations, creating concerns on model generalizability and new threats such as prediction-evasive misclassification or stealthy reprogramming. Among different defense proposals, stochastic network defenses such as random neuron activation pruning or random perturbation to layer inputs are shown to be promising for attack mitigation. However, one critical drawback of current defenses is that the robustness enhancement is at the cost of noticeable performance degradation on legitimate data, e.g., large drop in test accuracy. This paper is motivated by pursuing for a better trade-off between adversarial robustness and test accuracy for stochastic network defenses. We propose Defense Efficiency Score (DES), a comprehensive metric that measures the gain in unsuccessful attack attempts at the cost of drop in test accuracy of any defense. To achieve a better DES, we propose hierarchical random switching (HRS), which protects neural networks through a novel randomization scheme. A HRS-protected model contains several blocks of randomly switching channels to prevent adversaries from exploiting fixed model structures and parameters for their malicious purposes. Extensive experiments show that HRS is superior in defending against state-of-the-art white-box and adaptive adversarial misclassification attacks. We also demonstrate the effectiveness of HRS in defending adversarial reprogramming, which is the first defense against adversarial programs. Moreover, in most settings the average DES of HRS is at least 5X higher than current stochastic network defenses, validating its significantly improved robustness-accuracy trade-off.

연구 동기 및 목표

• 스토하스틱 방어에서 적대적 내성성과 테스트 정확도 사이의 핵심 트레이드오프를 해결하기 위해.
• 높은 테스트 정확도를 유지하면서 동시에 적대적 공격 성공률을 크게 감소시키는 방어 메커니즘을 개발하기 위해.
• 내성성-정확도 트레이드오프의 표준화된 평가를 위한 새로운 지표인 방어 효율성 점수(DES)를 제안하기 위해.
• 적응형 및 화이트박스 공격, 특히 적대적 프로그래밍과 같은 새로운 위협에 효과적으로 대응할 수 있도록 하기 위해.

제안 방법

• HRS는 각 블록이 서로 다른 가중치를 가진 병렬 채널과 인퍼런스 시 활성화 채널을 동적으로 선택하는 스위처를 포함하는 계층적 무작위 스위칭 블록의 구조를 도입한다.
• 각 블록은 분산형 랜덤라이제이션을 사용하며, 각 순전파에서 오직 한 개의 채널만 활성화되어, 공격자가 고정된 모델 구조를 악용하는 것을 방지한다.
• 선형 시간 복잡도를 가진 새로운 바닥에서부터 위로 향하는 훈련 알고리즘을 개발하여 HRS 보호 모델을 효율적으로 훈련시켰다.
• 이 방어 기법은 공격에 독립적이며 표준 신경망 훈련 파이프라인과 호환되며, 단일 기본 아키텍처만 필요로 한다.
• HRS는 표준 적대적 오분류와 적대적 프로그래밍 작업 양쪽에 적용되어 광범위한 적용 가능성을 입증했다.
• 방어 효율성 점수(DES)는 공격 성공률 감소율을 테스트 정확도 감소율로 나누어 계산되며, 다양한 방어 기법 간의 정량적 비교를 가능하게 한다.

실험 결과

연구 질문

• RQ1 스토하스틱 방어에서 내성성-정확도 트레이드오프를 체계적으로 측정하고 향상시킬 수 있는가?
• RQ2 강력한 화이트박스 및 적응형 적대적 공격에 효과적으로 저항하면서도 높은 테스트 정확도를 유지할 수 있는 방어 메커니즘이 존재하는가?
• RQ3 계층적 랜덤 스위칭은 SAP, 방어적 드롭아웃, 가우시안 노이즈와 같은 기존의 스토하스틱 방어보다 더 강력한 내성성을 제공하는가?
• RQ4 HRS는 적대적 프로그래밍이라는 새로운 위협, 즉 모델이 은밀히 재프로그래밍되어 잘못된 동작을 하게 하는 데 효과적으로 대응할 수 있는가?
• RQ5 HRS의 내성성은 기울기 왜곡 때문인가, 아니면 진정으로 적대적 예제에 대한 저항력 때문인가?

주요 결과

• CIFAR-10에서 HRS는 CW-PGD 공격 하에 평균 35.55의 방어 효율성 점수(DES)를 달성하여, 다른 모든 방어 기법보다 최소 3배 이상 뛰어난 성능을 보였다.
• 테스트 정확도가 단 0.48% 뿐 감소한 상태에서, HRS는 ℓ∞ = 8/255일 때 PGD 및 CW-PGD 공격에 대해 각각 48.9%와 45.5%의 공격 성공률 감소율을 기록했다.
• 기대값 변환(EOT)을 사용하는 적응형 공격 하에서도 HRS는 효과적으로 작동했으며, SAP나 드롭아웃과 같은 다른 방어 기법은 크게 약화되었다.
• 고정 무작위성 적응형 공격은 HRS에 대해 표준 화이트박스 공격보다 성능이 열 劣하므로, HRS의 분산형 무작위화가 악용을 효과적으로 방지함을 확인했다.
• CIFAR-10에서 HRS는 적대적 프로그래밍 성공률을 20% 이하로 낮추었으며, 보호되지 않은 모델은 재프로그래밍 후 최대 95.07%의 정확도를 기록했다.
• 채널 수나 블록 수를 늘일수록 HRS의 공격 성공률 감소율이 더욱 향상되어, 더 강력한 방어를 위한 확장성과 설정 유연성을 입증했다.