[논문 리뷰] Searching for a Search Method: Benchmarking Search Algorithms for Generating NLP Adversarial Examples

Jin Yong Yoo, John X. Morris외 2명|arXiv (Cornell University)|2020. 09. 09.

Adversarial Robustness in Machine Learning참고 문헌 29인용 수 10

한 줄 요약

이 논문은 NLP 적대적 예제 생성을 위한 여섯 가지 블랙박스 검색 알고리즘을 벤치마킹하며, 검색 공간과 쿼리 예산을 일정하게 유지하여 알고리즘 성능을 독립적으로 평가한다. 결과적으로 빔 서치와 입자 군집 최적화(PSO)가 가장 높은 공격 성공률를 기록했으며, 탐색 시간이나 입력 길이 제약 조건이 있을 경우 탐색 속도와 성능의 최적의 균형을 이룬다.

ABSTRACT

We study the behavior of several black-box search algorithms used for generating adversarial examples for natural language processing (NLP) tasks. We perform a fine-grained analysis of three elements relevant to search: search algorithm, search space, and search budget. When new search algorithms are proposed in past work, the attack search space is often modified alongside the search algorithm. Without ablation studies benchmarking the search algorithm change with the search space held constant, one cannot tell if an increase in attack success rate is a result of an improved search algorithm or a less restrictive search space. Additionally, many previous studies fail to properly consider the search algorithms' run-time cost, which is essential for downstream tasks like adversarial training. Our experiments provide a reproducible benchmark of search algorithms across a variety of search spaces and query budgets to guide future research in adversarial NLP. Based on our experiments, we recommend greedy attacks with word importance ranking when under a time constraint or attacking long inputs, and either beam search or particle swarm optimization otherwise. Code implementation shared via https://github.com/QData/TextAttack-Search-Benchmark

연구 동기 및 목표

• 검색 공간이나 예산의 변화와 무관하게, 검색 알고리즘이 NLP 적대적 공격의 성공률에 미치는 영향을 분리하여 평가하기 위해.
• 이전 연구에서 검색 공간이나 제약 조건의 동시 변화로 인해 검색 알고리즘 향상 효과가 혼동되는 문제를 해결하기 위해.
• 공격 성공률 외에도 런타임 비용과 변형 품질을 평가하여, 적대적 훈련과 같은 후속 응용 분야에서 중요한 요소를 고려하기 위해.
• 향후 NLP 적대적 연구를 안내하기 위해 여러 데이터셋, 모델, 설정에서 표준화되고 재현 가능한 벤치마크를 제공하기 위해.
• 다양한 검색 알고리즘 간 성능, 효율성, 변형 품질 사이의 실제 응용에서의 상호 상충 관계를 평가하기 위해.

제안 방법

• 연구는 여섯 가지 검색 알고리즘을 평가한다: 단일 단어 중요도 순서 기반 탐욕적 탐색(WIR), 빔 서치(b=8), 입자 군집 최적화(PSO), 그리고 UNK, DEL, RAND 단어 교체 전략을 사용한 변형 알고리즘.
• 모든 알고리즘은 변환 유형(예: 동의어 치환)과 언어적 제약 조건(예: 의미 유사도, 문법)으로 정의된 동일한 검색 공간에서 테스트된다.
• IMDB, SNLI, MNLI 세 가지 데이터셋에서 BERT-base 및 미세조정된 LSTM 모델을 사용하여 실험을 수행하며, 공격 성공률, 쿼리 수, 변형 품질을 측정한다.
• 변형 품질은 의미 유사도(USE)와 퍼플렉서티를 통해 평가되어 언어적 자연스러움과 유창성을 분석한다.
• 벤치마크는 공개된 GitHub 저장소를 통해 구현 및 공유되어 향후 연구에서의 재현성과 표준화를 보장한다.
• 분석을 위해 검색 공간을 고정하고 유일하게 알고리즘과 쿼리 예산만 변화시켜 알고리즘 효과를 분리한다.

실험 결과

연구 질문

• RQ1 검색 공간과 쿼리 예산을 일정하게 유지할 때, 다양한 검색 알고리즘이 공격 성공률에서 어떻게 상호 비교되는가?
• RQ2 다양한 검색 알고리즘 간 공격 성공률와 계산 비용(쿼리 수) 사이의 상호 상충 관계는 어떠한가?
• RQ3 입력 길이가 다양한 검색 알고리즘의 성능과 효율성에 어떤 영향을 미치는가?
• RQ4 PWWS, UNK, DEL 등의 다양한 단어 중요도 순서 전략이 성공률와 쿼리 효율성 측면에서 어떻게 비교되는가?
• RQ5 검색 알고리즘 선택이 의미 유사도와 퍼플렉서티로 측정된 적대적 예제의 품질에 어떤 영향을 미치는가?

주요 결과

• 빔 서치와 입자 군집 최적화(PSO)는 모든 데이터셋과 검색 공간에서 가장 높은 공격 성공률를 기록했으며, 성공률와 내구성 측면에서 다른 알고리즘을 모두 앞섰다.
• 단일 단어 중요도 순서 기반 탐욕적 탐색(WIR)은 시간 제약 조건이 있거나 긴 입력을 공격할 경우 탐색 속도와 성능의 최적 균형을 제공한다.
• PWWS 방법은 높은 쿼리 비용을 유발하지만, 단순한 탐욕적 방법보다도 성능이 열 劣하며, 빔 서치와 PSO에 비해 성공률와 효율성 측면에서 열 劣하다.
• 유전 알고리즘은 항상 단순한 빔 서치(b=8)에 열 劣하며, 15개 시나리오 중 11개에서 더 낮은 성공률와 더 높은 쿼리 비용을 기록했다.
• 빔 서치는 단어 변형 비율이 가장 낮은 적대적 예제를 생성했으며, 이는 더 높은 의미 유사도(USE)와 낮은 퍼플렉서티를 의미하여 변형 품질이 뛰어나다는 것을 시사한다.
• UNK 및 DEL 단어 교체 방법은 단어 중요도 쿼리로 인해 느리지만, 가장 작은 쿼리 예산 이외의 모든 경우에서 RAND를 능가했으며, 검색 과정에서 단어 순서의 중요성을 확인했다.