[논문 리뷰] Robust Adversarial Attacks Against DNN-Based Wireless Communication Systems

Alireza Bahramali, Milad Nasr외 3명|arXiv (Cornell University)|2021. 02. 01.

Wireless Signal Modulation Classification참고 문헌 38인용 수 5

한 줄 요약

이 논문은 DNN 기반 무선 통신 시스템에 대해 강건하고 입력에 관계없이, 탐지되지 않는 적대적 공격을 제안한다. 이는 보편적 적대적 편향(Uniform Adversarial Perturbations, UAPs)을 생성하는 편향 생성 모델(Perturbation Generator Model, PGM)을 사용한다. GAN을 활용해 정규분포 유사한 노이즈를 강제로 적용하고, 거리 정규화를 통해 UAP의 다양성을 극대화함으로써 공격는 탐지되지 않으며, 적대적 훈련 및 편향 제거 방어와 같은 방어 기법들에 대해 저항력이 있다. 이는 화이트박스 및_BLK박스 환경 모두에서 단일 벡터 UAP보다 뛰어난 성능을 보인다.

ABSTRACT

Deep Neural Networks (DNNs) have become prevalent in wireless communication systems due to their promising performance. However, similar to other DNN-based applications, they are vulnerable to adversarial examples. In this work, we propose an input-agnostic, undetectable, and robust adversarial attack against DNN-based wireless communication systems in both white-box and black-box scenarios. We design tailored Universal Adversarial Perturbations (UAPs) to perform the attack. We also use a Generative Adversarial Network (GAN) to enforce an undetectability constraint for our attack. Furthermore, we investigate the robustness of our attack against countermeasures. We show that in the presence of defense mechanisms deployed by the communicating parties, our attack performs significantly better compared to existing attacks against DNN-based wireless systems. In particular, the results demonstrate that even when employing well-considered defenses, DNN-based wireless communications are vulnerable to adversarial attacks.

연구 동기 및 목표

• 공격자가 타겟 신호를 사전에 알 수 없는 상황에서 DNN 기반 무선 통신 시스템의 적대적 공격에 대한 취약성을 해결한다.
• 타겟 신호에 대한 사전 지식 없이 입력에 관계없이 작동하는 적대적 공격을 설계하여, 실제 무선 환경에서의 광범위한 적용 가능성을 확보한다.
• GAN 기반 제약 조건을 통해 자연적인 AWGN 채널 노이즈를 모방함으로써 적대적 편향이 탐지되지 않도록 보장한다.
• 생성된 UAP 간의 거리를 극대화하여 방어 기법에 대한 강건성을 향상시키며, 피LOT 기반 추정을 통한 단순 제거를 방지한다.
• 원래의 타겟 시스템을 대체하는 DNN 대체 모델을 사용하여 PGM를 훈련하고, 실제 모델로 공격를 전이함으로써 화이트박스 및 블랙박스 공격 능력을 확보한다.

제안 방법

• 편향 생성 모델(PGM)을 훈련하기 위해 적대적 공격 생성을 최적화 문제로 공식화하여, 다수의 입력에 관계없는 UAP을 생성하는 PGM를 설계한다.
• 적대적 공격의 탐지 불가성을 확보하기 위해 생성적 적대적 네트워크(GAN)를 사용하여 UAP가 자연적인 채널 노이즈와 유사한 정규분포를 따르도록 강제한다.
• 생성된 UAP 간의 쌍별 L2 거리를 극대화하기 위해 거리 정규화를 적용함으로써 피LOT 기반 편향 제거 방어의 효과를 감소시킨다.
• 공격 성공률을 유지하면서 탐지 불가성 및 강건성 제약 조건을 만족시키기 위해 리마핑 함수와 정규화를 통합한다.
• 타겟 무선 시스템의 대체 DNN 모델을 기반으로 PGM를 훈련함으로써 블랙박스 공격 능력을 확보하고, 실제 모델로 공격를 전이한다.
• 적대적 훈련 및 편향 제거 방어 조건 하에서 성능을 평가하며, 단일 벡터 UAP 기준선과 비교한다.

실험 결과

연구 질문

• RQ1 PGM는 DNN 기반 무선 시스템에서 탐지되지 않으며, 일반적인 방어 기법에 저항력이 있는 다수의 다양성 있는 입력에 관계없는 UAP를 생성할 수 있는가?
• RQ2 GAN 기반의 탐지 불가성 제약 조건은 얼마나 효과적으로 적대적 편향을 자연적인 AWGN 노이즈와 구분 불가능하게 만드는가?
• RQ3 UAP 간의 거리 제약을 강제로 적용할 경우, 피LOT 기반 편향 제거 방어에 대한 저항력은 어느 정도 향상되는가?
• RQ4 적대적 훈련 및 편향 제거 방어 조건 하에서 PGM 기반 공격는 단일 벡터 UAP 공격보다 얼마나 뛰어나게 성능을 보이는가?
• RQ5 공격자가 타겟 DNN 모델에 대해 제한된 지식만을 가진 블랙박스 환경에서도 PGM 기반 공격는 높은 성공률을 유지할 수 있는가?

주요 결과

• GAN 기반 탐지 불가성 제약 조건은 판별기의 F1 스코어를 0.99에서 0.6으로 감소시켜, 적대적 편향이 자연적인 정규분포 노이즈와 거의 구분되지 않음을 시사한다.
• PGM 기반 공격는 단일 벡터 UAP보다 적대적 훈련 및 편향 제거 방어 모두에 대해 훨씬 뛰어난 강건성을 확보했으며, 이러한 방어 기법에 쉽게 무력화되는 단일 벡터 UAP와는 대비된다.
• 방어자가 피LOT 신호를 사용해 편향을 추정하고 제거하더라도, UAP의 높은 다양성 덕분에 정확한 추정이 어려워져 PGM 공격는 여전히 효과를 유지했다.
• PGM 아키텍처와 파rameter를 알고 있는 구조 인식 방어자 역시 공격 성능을 저하시켰지만, 동일 조건에서 PGM 공격는 단일 벡터 공격를 능가했다.
• 적대적 훈련 조건에서 PGM 공격는 단일 벡터 공격보다 더 큰 BLER(블록 오류율) 증가를 유도하여, 모델 재훈련에 대한 저항력을 입증했다.
• 대체 DNN 모델을 사용한 블랙박스 환경에서도 PGM 공격는 높은 성능을 유지했으며, 이는 전이 가능성과 실제 환경에서의 실용성을 확인한다.