[논문 리뷰] RED-Attack: Resource Efficient Decision based Attack for Machine Learning

Faiq Khalid, Hassan Ali외 4명|arXiv (Cornell University)|2019. 01. 29.

Adversarial Robustness in Machine Learning참고 문헌 14인용 수 13

한 줄 요약

이 논문은 분류 경계를 추정하기 위해 반구간 검색을 사용하고, 미시적 왜곡을 최적화하기 위해 적응형 방법을 적용함으로써 쿼리 소비를 줄이는 자원 효율적인 결정 기반 적대적 공격인 RED-Attack을 제안한다. CIFAR-10 및 GTSR 데이터셋에서 1,000회 쿼리 이내로 기준 결정 기반 공격 대비 96.1% 낮은 왜곡 노름, 71.7% 높은 구조적 유사도, 그리고 원본 이미지와의 상관관계가 203% 향상된 결과를 도출한다.

ABSTRACT

Due to data dependency and model leakage properties, Deep Neural Networks (DNNs) exhibit several security vulnerabilities. Several security attacks exploited them but most of them require the output probability vector. These attacks can be mitigated by concealing the output probability vector. To address this limitation, decision-based attacks have been proposed which can estimate the model but they require several thousand queries to generate a single untargeted attack image. However, in real-time attacks, resources and attack time are very crucial parameters. Therefore, in resource-constrained systems, e.g., autonomous vehicles where an untargeted attack can have a catastrophic effect, these attacks may not work efficiently. To address this limitation, we propose a resource efficient decision-based methodology which generates the imperceptible attack, i.e., the RED-Attack, for a given black-box model. The proposed methodology follows two main steps to generate the imperceptible attack, i.e., classification boundary estimation and adversarial noise optimization. Firstly, we propose a half-interval search-based algorithm for estimating a sample on the classification boundary using a target image and a randomly selected image from another class. Secondly, we propose an optimization algorithm which first, introduces a small perturbation in some randomly selected pixels of the estimated sample. Then to ensure imperceptibility, it optimizes the distance between the perturbed and target samples. For illustration, we evaluate it for CFAR-10 and German Traffic Sign Recognition (GTSR) using state-of-the-art networks.

연구 동기 및 목표

• 자율주행차와 같은 실시간·자원 제약이 있는 시스템에 적용하기에 부적합한 10,000회 이상의 쿼리가 필요한 기존 결정 기반 공격의 높은 쿼리 비용을 해결한다.
• 모델의 확률 출력에 의존하지 않고도 엄격한 쿼리 제한 내에서 눈에 띄지 않는 적대적 예제를 생성하는 방법을 개발한다.
• 최종 클래스 레이블만 제공되는 블랙박스 환경(위협 모델 III)에서 수렴 속도와 왜곡 품질을 향상시킨다.
• 모델 방어로 인해 확률 분포가 흐려져 확률 기반 공격이 효과를 잃는 상황에서도 효과적인 공격을 가능하게 한다.

제안 방법

• 목표 이미지와 다른 클래스에서 무작위로 선택한 이미지를 사용하여 분류 경계 상의 점을 추정하기 위해 반구간 검색 기반 알고리즘을 제안한다.
• 경계 추정 샘플의 픽셀에 작은, 적응형 왜곡을 적용하여 적대적 예제를 생성하기 위한 최적화 프레임워크를 도입한다.
• 왜곡된 이미지와 원본 소스 이미지 간의 L2 노름을 최소화함으로써 눈에 띄지 않는 왜곡을 보장하기 위해 거리 최적화 메커니즘을 활용한다.
• 경계 탐색 중에 이진 스텝 전략을 사용하여 쿼리 오버헤드를 줄이고 수렴 속도를 가속화한다.
• 공격 과정 중에 하이퍼파ram터(θ, n, δ_min)를 동적으로 조정하여 수렴성과 강건성을 향상시킨다.
• 중복 쿼리를 방지하고 영향력 있는 픽셀 수정에 집중하기 위해 쿼리 효율적인 업데이트 메커니즘을 적용한다.

실험 결과

연구 질문

• RQ1 기존 방법에 비해 훨씬 적은 쿼리로 결정 기반 적대적 공격이 고품질의 적대적 예제를 생성할 수 있는가?
• RQ2 제안된 반구간 검색 전략이 쿼리 효율성과 수렴 속도 면에서 랜덤 검색에 비해 어떻게 비교되는가?
• RQ3 제안된 최적화 프레임워크가 제한된 쿼리 예산 내에서 SSIM 및 상관관계와 같은 눈에 띄지 않는 지표를 얼마나 향상시킬 수 있는가?
• RQ4 이 공격은 GTSR와 같은 안전성에 민감한 벤치마크를 포함한 다양한 데이터셋과 모델 아키텍처에서 효과를 유지하는가?

주요 결과

• 최대 1,000회 쿼리 이내에서, RED-Attack은 CIFAR-10 및 GTSR에서 기준 결정 기반 공격 대비 왜곡 노름을 96.1% 감소시켰다.
• RED-Attack이 생성한 적대적 예제의 구조적 유사도 지수(SSI)는 기준 대비 71.7% 향상되어 더 높은 시각적 정밀도를 보였다.
• 동일한 쿼리 제한 하에서, 적대적 예제와 원본 이미지 간의 상관계수는 203% 향상되어 원본 입력과의 유사성이 강화됨을 확인했다.
• RED-Attack은 1,000회 쿼리 예산 내에서 CIFAR-10 및 GTSR 데이터셋의 모든 테스트 이미지에 대해 잘못 분류된 적대적 예제를 성공적으로 생성했다.
• GTSRB에서는 CIFAR-10보다 수렴 속도가 더 빠르며, 이는 GTSRB의 클래스 수가 더 많아 최적화에 더 많은 방향성 단서를 제공하기 때문으로 추정된다.
• 무제한 쿼리가 가능한 경우(예: 100,000회), 결정 기반 공격이 최종적으로 RED-Attack을 능가하지만, 실시간 시스템에 필수적인 쿼리 제약 환경에서는 RED-Attack이 우월하다.