[논문 리뷰] Robust Adversarial Learning via Sparsifying Front Ends

Soorya Gopalakrishnan, Zhinus Marzi외 3명|arXiv (Cornell University)|2018. 10. 24.

Adversarial Robustness in Machine Learning참고 문헌 53인용 수 4

한 줄 요약

이 논문은 고차원 입력을 정규직교 기저에서 희소 표현을 사용하여 저차원 부분공간에 투영하는 희소화 전단계를 적용하여 딥 네ural 네트워크를 위한 희소성 기반 방어 기법을 제안한다. 이 방법은 $ℓ_{\infty}$-유계 공격에서 악성 편향 영향을 약 $K/N$ 배로 증명적으로 감소시키며, 실험 결과 희소화 전단계를 사용할 경우 CIFAR-10에서 39.6%의 강건한 정확도를 기록했고, 병합된 악성 훈련을 사용할 경우 67.21%에 이를 것으로 나타났다. 이는 악성 훈련만을 사용하는 것보다 뛰어난 성능을 보였다.

ABSTRACT

It is by now well-known that small adversarial perturbations can induce classification errors in deep neural networks. In this paper, we take a bottom-up signal processing perspective to this problem and show that a systematic exploitation of sparsity in natural data is a promising tool for defense. For linear classifiers, we show that a sparsifying front end is provably effective against $\ell_{\infty}$-bounded attacks, reducing output distortion due to the attack by a factor of roughly $K/N$ where $N$ is the data dimension and $K$ is the sparsity level. We then extend this concept to deep networks, showing that a "locally linear" model can be used to develop a theoretical foundation for crafting attacks and defenses. We also devise attacks based on the locally linear model that outperform the well-known FGSM attack. We supplement our theoretical results with experiments on the MNIST and CIFAR-10 datasets, showing the efficacy of the proposed sparsity-based defense schemes.

연구 동기 및 목표

• 신호 처리 원리를 기반으로 한 이론적으로 탄탄한, 하향식 접근의 악성 공격에 대한 방어 기법 개발.
• 고차원 입력에서의 데이터 희소성을 활용하여 딥 네트워크의 소규모 $ℓ_{\infty}$-유계 편향에 대한 취약성을 해결.
• 악성 훈련과 무관하게 희소화 전단계를 통해 악성 공격에 대한 강건성에 대한 증명 가능한 이론적 보장을 제공.
• 국소적으로 선형 근사가 신경망의 행동을 악성 편향 하에서 모델링하는 데 어떤 역할을 하는지 탐색.
• 희소성 기반 전처리가 악성 훈련에만 의존하지 않고도 강건성을 향상시킬 수 있음을 보여주기.

제안 방법

• 알려진 정규직교 기저를 사용하여 입력을 $K$-차원 부분공간에 투영하는 희소화 전단계를 적용하며, 희소 표현에서 가장 큰 $K$개의 계수만 유지한다.
• 선형 분류기의 경우, 스토하스틱 가중치 모델 하에서 높은 확률로 악성 출력 왜곡을 $K/N$ 배로 감소시킨다.
• 국소적으로 선형 모델은 딥 네트워크를 조각별 선형 함수로 근사하여 악성 공격 및 방어에 대한 이론적 분석을 가능하게 한다.
• 이론적 분석을 통해 희소성이 고차원 입력에서의 $ℓ_{\infty}$-유계 편향의 증폭을 제한함을 확인한다.
• 실험에서는 이미지 데이터에 웨이블릿 기저를 사용하고 분류 이전에 희소화를 적용하며, 필요에 따라 악성 훈련에 통합할 수 있다.
• 하이브리드 방어 기법은 희소화 전단계와 악성 훈련을 병합하여 자연 정확도와 강건 정확도를 모두 향상시킨다.

실험 결과

연구 질문

• RQ1 고차원 데이터의 희소성은 체계적으로 $ℓ_{\infty}$-유계 악성 편향의 영향을 줄이는 데 활용될 수 있는가?
• RQ2 희소화 전단계는 선형 분류기에서 얼마나 증명 가능하게 악성 공격를 감쇠시킬 수 있는가?
• RQ3 국소적으로 선형 모델은 악성 편향 하에서 딥 네트워크의 행동을 얼마나 잘 묘사하는가?
• RQ4 희소성 기반 전처리는 악성 훈련과 병합했을 때 강건성을 향상시킬 수 있는가?
• RQ5 희소화 기저와 희소성 수준의 선택은 강건성과 자연 정확도에 상당한 영향을 미치는가?

주요 결과

• 선형 분류기의 경우, 스토하스틱 가중치 모델 하에서 높은 확률로 희소성 기반 방어 기법이 악성 출력 왜곡을 약 $K/N$ 배로 감소시킨다.
• MNIST에서 희소화 전단계만으로도 $\epsilon = 0.3$일 때 38.4%의 강건 정확도를 달성했으며, 기준선 대비 유의미하게 향상되었다.
• CIFAR-10에서 전단계만으로도 $\epsilon = 2/255$일 때 희소성 수준 (3.5, 1, 1)%에서 39.60%의 강건 정확도를 기록했다.
• CIFAR-10에서 전단계를 악성 훈련과 병합한 결과 67.21%의 강건 정확도와 88.02%의 자연 정확도를 달성했으며, 악성 훈련만을 사용한 경우(66.82% 강건)에 비해 略로 뛰어났다.
• 훈련 시 $\epsilon = 0.1$로 설정하고 테스트 시 $\epsilon = 0.2$로 설정했을 때도 방어 기법이 효과적이었으며, 공격 예산 간의 일반화 능력을 입증했다.
• 이론적 분석을 통해 희소성이 소규모 편향의 증폭을 제한함을 확인했으며, 특히 고차원 설정에서 두드러진다.