[논문 리뷰] Sardino: Ultra-Fast Dynamic Ensemble for Secure Visual Sensing at Mobile Edge

Qunliang Song, Zhenyu Yan외 2명|arXiv (Cornell University)|2022. 04. 18.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

Sardino는 이동형 엣지 디바이스에서 실시간 시각 감지에 적합한 HyperNet 기반 초고속 동적 앙상블 시스템을 제안하며, 적응형 대비 공격을 방지하기 위해 프레임 단위로 앙상블를 갱신하는 이동 대상 방어 기법을 구현한다. 재학습 대비 100만 배의 속도 향상을 달성하고, 프레임당 33ms의 처리 시간을 유지하며, 실시간 교통 표지판 인식 시스템에서 분포 외 입력을 탐지할 수 있다.

ABSTRACT

Adversarial example attack endangers the mobile edge systems such as vehicles and drones that adopt deep neural networks for visual sensing. This paper presents {\em Sardino}, an active and dynamic defense approach that renews the inference ensemble at run time to develop security against the adaptive adversary who tries to exfiltrate the ensemble and construct the corresponding effective adversarial examples. By applying consistency check and data fusion on the ensemble's predictions, Sardino can detect and thwart adversarial inputs. Compared with the training-based ensemble renewal, we use HyperNet to achieve {\em one million times} acceleration and per-frame ensemble renewal that presents the highest level of difficulty to the prerequisite exfiltration attacks. We design a run-time planner that maximizes the ensemble size in favor of security while maintaining the processing frame rate. Beyond adversarial examples, Sardino can also address the issue of out-of-distribution inputs effectively. This paper presents extensive evaluation of Sardino's performance in counteracting adversarial examples and applies it to build a real-time car-borne traffic sign recognition system. Live on-road tests show the built system's effectiveness in maintaining frame rate and detecting out-of-distribution inputs due to the false positives of a preceding YOLO-based traffic sign detector.

연구 동기 및 목표

• 드론이나 자율주행 차량과 같은 이동형 엣지 시스템에서 DNN 기반 시각 감지 기술이 적응형 대비 예외 공격에 취약한 문제를 해결하기 위해.
• 정적 앙상블 및 재학습 기반 갱신 방식의 한계를 극복하여 실시간 시스템에 비현실적으로 느린 갱신 속도를 해결하기 위해.
• 적대적 공격을 위해 정보를 유출하고 효과적인 공격를 기획하는 것을 어렵게 하기 위해 런타임 시점에서 고주기의 앙상블 갱신을 가능하게 하기 위해.
• 실시간 성능(예: 프레임당 33ms)을 유지하면서도 앙상블 크기를 최대화하여 분포 외 입력에 대한 보다 높은 보안성과 강건성을 확보하기 위해.

제안 방법

• 랜덤 시드에서 DNN 가중치를 생성할 수 있는 학습 가능한 MLP인 HyperNet를 사용하여, 재학습 없이도 거의 즉각적인 앙상블 생성이 가능하도록 한다.
• 예상 처리 시간과 가용 예산을 기반으로 매 프레임마다 앙상블 크기(N)를 동적으로 조정하는 런타임 플래너를 적용한다.
• 앙상블 예측 간 일관성 검증과 데이터 융합 기법을 적용하여 적대적 입력 및 분포 외 입력을 탐지한다.
• 완전한 모델을 저장하지 않고도 앙상블 정확도를 검증하기 위해 랜덤 시드를 활용하는 경량 검증 메커니즘을 통합한다.
• 모든 프레임이 목표 지연 시간(예: 33ms) 내에 처리되도록 보장하기 위해 소프트 딜레이나 메커니즘을 적용한다.
• 실시간 자동차 기반 교통 표지판 인식 파이프라인에 시스템을 구현하여, YOLO 기반 객체 검출 결과에 대해 적응형 앙상블 갱신을 수행한다.

실험 결과

연구 질문

• RQ1 이동형 엣지 디바이스에서 적응형 대비 공격에 대응하기 위해 실시간으로 초고속 앙상블 갱신이 가능할 수 있는가?
• RQ2 어떻게 하면 재학습 없이도 매 프레임 갱신이 가능한 초고속 앙상블 갱신을 달성할 수 있는가?
• RQ3 동적 앙상블에서 앙상블 크기, 처리 지연 시간, 보안 강도 사이의 상호 상충 관계는 어떠한가?
• RQ4 실제 환경에서 동적 앙상블은 적대적 예외 입력과 분포 외 입력을 효과적으로 탐지할 수 있는가?
• RQ5 앙상블 다양성과 갱신 빈도를 극대화하면서도 실시간 성능을 유지할 수 있는가?

주요 결과

• Sardino는 기존 재학습 대비 앙상블 갱신 속도를 100만 배 향상시켜 이동형 엣지 디바이스에서 프레임 단위 갱신을 구현한다.
• 320x320@30fps 조건에서 평균 프레임당 처리 시간이 33.0ms를 유지하며, 지연 변동은 허용 가능한 수준으로 유지된다.
• 실차 주행 테스트 결과, Sardino는 YOLO 기반 교통 표지판 검출기의 오진 탐지로 인한 분포 외 입력을 성공적으로 탐지한다.
• 런타임 플래너는 고부하 상황(최대 9개 객체/프레임)에서도 33ms 소프트 딜레이나 내에 처리를 유지하기 위해 앙상블 크기(N)를 동적으로 조정한다.
• 완전한 모델 가중치 대신 랜덤 시드만 저장하여 시간당 약 5.5MB의 스토리지 오버헤드만 발생시켜 사후 분석이 가능하다.
• 오프라인 재학습 방식에 비해 Sardino의 프레임 단위 갱신은 훨씬 강력한 이동 대상 방어 보안 성능을 제공하며, 배터리 과도 소모 위험도 피한다.