[논문 리뷰] Reverse Engineering of Imperceptible Adversarial Image Perturbations

Yifan Gong, Yuguang Yao외 5명|arXiv (Cornell University)|2022. 03. 26.

Adversarial Robustness in Machine Learning인용 수 8

한 줄 요약

이 논문은 클래스 구분성 있는 노이즈 제거와 공간적 데이터 증강을 통합하여, 정밀한 적대적 편향을 암시적으로 복원하는 새로운 프레임워크인 Deception의 역공학화(Redesign of Deceptions, RED)를 소개한다. 제안된 CDD-RED 방법은 FGSM, PGD, CW, AutoAttack 및 적응형 공격 등 다양한 평가 지표와 공격 유형에서 기준 노이즈 제거 방법보다 뚜렷한 성능 향상을 보이며, 편향 복원에서 높은 일반화 능력과 강건성을 입증한다.

ABSTRACT

It has been well recognized that neural network based image classifiers are easily fooled by images with tiny perturbations crafted by an adversary. There has been a vast volume of research to generate and defend such adversarial attacks. However, the following problem is left unexplored: How to reverse-engineer adversarial perturbations from an adversarial image? This leads to a new adversarial learning paradigm--Reverse Engineering of Deceptions (RED). If successful, RED allows us to estimate adversarial perturbations and recover the original images. However, carefully crafted, tiny adversarial perturbations are difficult to recover by optimizing a unilateral RED objective. For example, the pure image denoising method may overfit to minimizing the reconstruction error but hardly preserve the classification properties of the true adversarial perturbations. To tackle this challenge, we formalize the RED problem and identify a set of principles crucial to the RED approach design. Particularly, we find that prediction alignment and proper data augmentation (in terms of spatial transformations) are two criteria to achieve a generalizable RED approach. By integrating these RED principles with image denoising, we propose a new Class-Discriminative Denoising based RED framework, termed CDD-RED. Extensive experiments demonstrate the effectiveness of CDD-RED under different evaluation metrics (ranging from the pixel-level, prediction-level to the attribution-level alignment) and a variety of attack generation methods (e.g., FGSM, PGD, CW, AutoAttack, and adaptive attacks).

연구 동기 및 목표

• 적대적 이미지에서 적대적 편향을 추정하기 위한 Deception의 역공학화(RE) 문제를 체계화하는 것.
• 일반화 가능한 RED 성능을 가능하게 하는 핵심 원칙—특히 클래스 구분 능력과 공간적 데이터 증강—을 규명하는 것.
• 픽셀, 예측, 소스 기반 수준에서 RED 성능을 측정하는 종합적인 평가 파이프라인을 구축하는 것.
• 모델의 일반화 능력과 높은 정밀도를 유지하면서도, 예측된 편향 복원 성능을 향상시키기 위한, 디노이저 기반의 RED 프레임워크를 개발하는 것.

제안 방법

• 주어진 적대적 이미지에서 적대적 편향을 추정하는 역학 학습 문제로 RED 문제를 수식화하는 것.
• 편향 복원 과정에서 분류에 관련된 특징을 유지하기 위해, 노이즈 제거 네트워크에 클래스 구분성 손실을 통합하는 것.
• 학습 중에 공간적 데이터 증강(예: 회전, 반전)을 적용하여 RED 모델의 강건성과 일반화 능력을 향상시키는 것.
• 이미지 재구성과 원래 분류기와의 예측 일치도를 동시에 최적화하는 CDD-RED 프레임워크를 설계하는 것.
• 복원된 편향이 적대적 성질을 유지하도록, 사전 학습된 분류기(예: VGG19)를 활용하여 RED 과정을 안내하는 것.
• 다중 수준 평가 지표를 사용하여 RED 성능을 평가하는 것: 픽셀 수준 재구성 오차, 예측 수준 일치도(PA), 소스 기반 열매 구역 복원도.

실험 결과

연구 질문

• RQ1 노이즈 제거 기반 접근법을 통해 적대적 편향을 효과적으로 적대적 이미지에서 역공학화할 수 있는가?
• RQ2 일반화 가능한 RED 성능을 달성하기 위해 필수적인 설계 원칙—예: 클래스 분류 능력과 데이터 증강—은 무엇인가?
• RQ3 제안된 CDD-RED 방법은 AutoAttack 및 적응형 공격과 같이 예측되지 않은 공격 유형으로 일반화되는가?
• RQ4 RED는 진정한 적대적 열매 영역을 어느 정도 정확하게 복원하고, 원래 모델의 예측 행동을 유지할 수 있는가?
• RQ5 학습된 로짓 공간 상관관계를 통해 다양한 적대적 공격 유형 간의 관계를 추론할 수 있는가?

주요 결과

• CDD-RED는 기준 노이즈 제거 방법(DS) 대비 기능 공격(FGSM)에서 36.51% 높은 예측 일치도(PA), 적응형 공격에서 27.64% 높은 PA를 기록한다.
• 표준 공격보다 훨씬 강건한 AutoAttack에서도 높은 성능을 유지하며, 복잡한 예측되지 않은 공격 유형으로의 일반화 능력을 입증한다.
• 모든 평가된 공격 방법에서 픽셀 수준 재구성 및 예측 수준 일치도 모두에서 표준 노이즈 제거(DO) 및 공간 증강을 적용한 노이즈 제거(DS)보다 CDD-RED가 뛰어난 성능을 보인다.
• CDD-RED 추정치의 로짓 상관계수 행렬이 실제값과 유사하게 나타나, 적대적 행동과 공격 유형 간의 관계를 정확히 복원한 것으로 나타났다.
• CDD-RED는 이식 가능한 공격 능력을 제공하며, RED로 생성된 편향은 효과적인 이식 공격으로 사용될 수 있어 의미적 정밀도를 입증한다.
• 적대자가 RED 모델를 알고 있다고 가정하는 적응형 공격에 대해서도 프레임워크가 잘 일반화되며, 최악의 시나리오에서도 저항성을 보여준다.