[논문 리뷰] ReabsNet: Detecting and Revising Adversarial Examples

Jiefeng Chen, Zihang Meng외 3명|arXiv (Cornell University)|2017. 12. 21.

Adversarial Robustness in Machine Learning참고 문헌 19인용 수 6

한 줄 요약

ReabsNet은 가드네트워크를 사용해 적대적 예제를 탐지하고 수정하여 원래 레이블로 복원하는 새로운 방어 프레임워크로, 다양한 공격에서 기존 최고 수준의 방법들(예: Madry 등이 제안한 강건 모델)을 뛰어넘으며, 특히 ε=0.3를 초과하는 노이즈 범위에서 뛰어난 성능을 발휘한다.

ABSTRACT

Though deep neural network has hit a huge success in recent studies and applica- tions, it still remains vulnerable to adversarial perturbations which are imperceptible to humans. To address this problem, we propose a novel network called ReabsNet to achieve high classification accuracy in the face of various attacks. The approach is to augment an existing classification network with a guardian network to detect if a sample is natural or has been adversarially perturbed. Critically, instead of simply rejecting adversarial examples, we revise them to get their true labels. We exploit the observation that a sample containing adversarial perturbations has a possibility of returning to its true class after revision. We demonstrate that our ReabsNet outperforms the state-of-the-art defense method under various adversarial attacks.

연구 동기 및 목표

• 분류를 오도하는 눈에 띄지 않는 적대적 노이즈에 취약한 딥 네트워크의 취약점을 해결한다.
• 거짓 긍정 반응으로 인해 자연 이미지를 거부하는 기존의 '탐지 후 기각' 방식의 한계를 극복한다.
• 적대적 예제를 탐지할 뿐 아니라 복구하여 진짜 레이블로 복원하는 방어 메커니즘을 개발한다.
• DeepFool 공격 유형 하나에 대해 가드 네트워크와 수정 네트워크를 훈련시켜, 예측할 수 없는 공격에 대해서도 강건한 분류를 가능하게 한다.

제안 방법

• 분류 전용 마스터 네트워크, 적대적 예제 탐지 전용 가드 네트워크, 적대적 입력을 반복적으로 수정하는 수정 네트워크로 구성된 세 구성 요소 아키텍처를 제안한다.
• DeepFool을 통해 생성된 적대적 예제를 사용해 가드 네트워크를 훈련시어 자연 이미지와 적대적 예제를 구분하도록 한다.
• 적대적 공격 메커니즘(예: DeepFool)을 기반으로 한 이미지 수정 방법을 적용해 탐지된 적대적 예제를 반복적으로 수정한다.
• 반복적 수정을 통해 가드 네트워크가 자연 이미지로 분류할 수 있도록 적대적 입력을 변형함으로써 마스터 네트워크가 정확한 분류를 수행할 수 있도록 한다.
• 탐지 및 수정 목표를 통합한 공동 손실 함수를 사용해 전체 시스템을 엔드 투 엔드로 훈련시킨다.
• 적대적 예제는 표적 노이즈 역전을 통해 원래 클래스로 복원될 수 있으며, 이를 생리학적 재흡수와 유사하게 모방한다.

실험 결과

연구 질문

• RQ1 공격 유형에 대한 사전 지식이 없이도 가드 네트워크가 적대적 예제를 효과적으로 탐지할 수 있는가?
• RQ2 반복적 수정을 통해 적대적 예제를 원래 자연 상태로 성공적으로 복원할 수 있는가?
• RQ3 적대적 입력을 수정하는 시스템은 기존의 '탐지 후 기각' 또는 강건 훈련 방식보다 성능이 뛰어나게 되는가?
• RQ4 ReabsNet 프레임워크는 다양한 적대적 공격 유형과 노이즈 크기에 대해 얼마나 일반화 가능한가?
• RQ5 다양하고 강력한 공격에 대응하면서도 자연 이미지에 대해 높은 정확도를 유지할 수 있는가?

주요 결과

• ReabsNet은 자연 MNIST 이미지에서 99.05%의 분류 정확도를 달성하여 마스터 네트워크 단독 성능과 동일하다.
• ε < 0.3인 FGSM 및 DeepFool 공격 조건에서 ReabsNet은 100%의 방어 성공률를 기록하며, 동일 조건에서 Madry의 모델을 뛰어넘는다.
• 노이즈 범위가 ε < 0.6으로 증가할 경우, ReabsNet은 FGSM 공격에서 95%의 방어 성공률, CW $L_{∞}$ 타겟 공격에서 97.3%의 성공률를 유지하며, Madry의 모델을 크게 앞서간다.
• ReabsNet의 방어 성공률는 테스트한 여섯 가지 공격 유형 전반에서 일관되게 높은 성능를 유지한다. 이는 CW $L_2$ 및 $L_{∞}$ 무관/타겟 공격을 포함한다.
• 프레임워크는 잘 일반화된다: 단지 DeepFool으로 생성된 적대적 예제에 대해 훈련함으로써 다른 공격 유형에 대해서도 효과적인 탐지 및 수정이 가능하다.
• 수정 네트워크는 적대적 예제를 원래 클래스로 성공적으로 복원하여, 메커니즘 인식 기반 수정을 통한 적대적 노이즈 역전의 가능성을 입증한다.