[논문 리뷰] Robustness for Non-Parametric Classification: A Generic Attack and Defense

Yao-Yuan Yang, Cyrus Rashtchian외 2명|arXiv (Cornell University)|2019. 06. 07.

Adversarial Robustness in Machine Learning참고 문헌 57인용 수 6

한 줄 요약

이 논문은 k-NN, 의사결정나무, 랜덤 포레스트와 같은 비모수적 분류기용 일반적 방어 기법인 적대적 프루닝과 영역 기반 공격을 제안한다. 학습 데이터를 사전 처리하여 클래스 간 분리를 향상시킴으로써, 적대적 프루닝은 다양한 모델에서 강건성을 향상시키며, 영역 기반 공격는 볼록 프로그래밍을 통해 최소한의 변형을 갖는 최적의 적대적 예제를 찾는다. 이는 이전의 공격를 뛰어넘으며 비모수적 강건 학습의 새로운 기준을 설정한다.

ABSTRACT

Adversarially robust machine learning has received much recent attention. However, prior attacks and defenses for non-parametric classifiers have been developed in an ad-hoc or classifier-specific basis. In this work, we take a holistic look at adversarial examples for non-parametric classifiers, including nearest neighbors, decision trees, and random forests. We provide a general defense method, adversarial pruning, that works by preprocessing the dataset to become well-separated. To test our defense, we provide a novel attack that applies to a wide range of non-parametric classifiers. Theoretically, we derive an optimally robust classifier, which is analogous to the Bayes Optimal. We show that adversarial pruning can be viewed as a finite sample approximation to this optimal classifier. We empirically show that our defense and attack are either better than or competitive with prior work on non-parametric classifiers. Overall, our results provide a strong and broadly-applicable baseline for future work on robust non-parametrics. Code available at https://github.com/yangarbiter/adversarial-nonparametrics/ .

연구 동기 및 목표

• k-NN, 의사결정나무, 랜덤 포레스트와 같은 비모수적 분류기용 일반적이고 원리적인 공격 및 방어 기법의 부족을 해결하기 위해.
• 비모수적 방법에서 강건성의 일반 원칙을 규명하고, 특히 입력 공간에서의 클래스 간 분리가 차지하는 역할을 밝히기 위해.
• 분류기별로 특화된 튜닝 없이도 다양한 비모수적 모델에서 효과적인 방어 기법을 개발하기 위해.
• 강건성 반경 r 하에서의 정확도(아스투네스)를 최대화하는 이론적 최적의 강건 분류기의 유한 표본 근사로, 증명 가능하게 최적의 공격과 함께 새로운 평가 기준을 설정하기 위해.

제안 방법

• 적대적 프루닝은 클래스 간 분리를 극대화하기 위해 최소한의 점들을 제거함으로써 학습 데이터를 사전 처리하여 입력 공간에서 잘 분리된 데이터로 만든다.
• 영역 기반 공격는 주어진 입력에 대해 다른 클래스의 가장 가까운 베르로이 피그먼트 또는 다면체 영역을 식별하고, 볼록 최적화를 통해 최소한의 변형을 찾는다.
• 계산 비용이 큰 경우, 효율적으로 근사 최적의 적대적 예제를 찾기 위해 히우리스틱 근사를 사용한다.
• 이론적 분석을 통해 강건성 반경 r 하에서 아스투네스를 최대화하는 r-최적 분류기를 도입하고, 적대적 프루닝이 이 최적 분류기의 유한 표본 근사임을 보여준다.
• 이 방법은 학습 이전에 일반적으로 적용되므로, k-NN, 의사결정나무, 랜덤 포레스트와 같은 모든 비모수적 분류기와 호환 가능하다.

실험 결과

연구 질문

• RQ1 k-NN, 의사결정나무, 랜덤 포레스트 등 다양한 비모수적 분류기에서 효과적인 일반 방어 기법을 설계할 수 있는가?
• RQ2 비모수적 분류기의 기하학적 및 구조적 특성 중 어떤 것이 일반적인 적대적 공격를 가능하게 하는가?
• RQ3 베이지안 최적 분류기와 유사한 비모수적 방법용 이론적 최적의 강건 분류기가 존재하는가?
• RQ4 적대적 프루닝은 최적의 강건 분류기의 유한 표본 근사로 해석될 수 있는가?

주요 결과

• 적대적 프루닝은 k-NN, 의사결정나무, 랜덤 포레스트에서 일관되게 강건성을 향상시키며, 여러 데이터셋에서 적대적 훈련보다 뛰어난 성능을 보였다.
• 영역 기반 공격는 비모수적 모델에 대해 최적의 적대적 예제를 찾는다. 이는 볼록 프로그래밍을 통해 다른 클래스의 다면체 영역 내 가장 가까운 점을 찾기 때문이다.
• 영역 기반 공격는 변형 크기 측면에서 이전의 공격를 뛰어넘으며, 더 작은 변형으로 더 높은 적대적 성공률를 보였다.
• 적대적 프루닝이 강건성 반경 r 하에서 아스투네스를 최대화하는 r-최적 분류기의 유한 표본 근사임을 입증하였다.
• 제안된 방어 및 공격 기법은 k-NN, 의사결정나무, 랜덤 포레스트 등 비모수적 학습에서 강건성 평가를 위한 강력하고 일반적인 기준이 되었으며, 파rametric 설정에서의 적대적 훈련과 PGD와 유사한 성능을 보였다.