[논문 리뷰] Securing Deep Spiking Neural Networks against Adversarial Attacks through Inherent Structural Parameters

Rida El-Allami, Alberto Marchisio외 2명|arXiv (Cornell University)|2020. 12. 09.

Advanced Memory and Neural Computing참고 문헌 45인용 수 33

한 줄 요약

이 논문은 스파이킹 신경망의 적대적 공격에 대한 견고성이 내부 구조 매개변수(임계전압 V_th와 시간 창)와 어떻게 관련되는지 조사하고, 강력한 화이트박스 공격하에서 전통 CNN 대비 상당한 견고성 이득을 보이며 재현 가능한 연구를 위한 오픈 소스 도구를 제공한다.

ABSTRACT

Deep Learning (DL) algorithms have gained popularity owing to their practical problem-solving capacity. However, they suffer from a serious integrity threat, i.e., their vulnerability to adversarial attacks. In the quest for DL trustworthiness, recent works claimed the inherent robustness of Spiking Neural Networks (SNNs) to these attacks, without considering the variability in their structural spiking parameters. This paper explores the security enhancement of SNNs through internal structural parameters. Specifically, we investigate the SNNs robustness to adversarial attacks with different values of the neuron's firing voltage thresholds and time window boundaries. We thoroughly study SNNs security under different adversarial attacks in the strong white-box setting, with different noise budgets and under variable spiking parameters. Our results show a significant impact of the structural parameters on the SNNs' security, and promising sweet spots can be reached to design trustworthy SNNs with 85% higher robustness than a traditional non-spiking DL system. To the best of our knowledge, this is the first work that investigates the impact of structural parameters on SNNs robustness to adversarial attacks. The proposed contributions and the experimental framework is available online to the community for reproducible research.

연구 동기 및 목표

• 스파이킹 신경망의 적대적 공격에 대한 견고성이 내부 구조 매개변수(V_th 및 시간 창 T)에 의해 어떻게 영향을 받는지 평가한다.
• 스파이킹 신경망이 고유한 견고성을 갖는지 여부와 이 견고성이 선택된 V_th 및 T 값에 어떻게 의존하는지 결정한다.
• 학습 가능성이나 정확도를 희생하지 않으면서 견고성을 향상시키는 매개변수 영역을 식별한다.

제안 방법

• 다수의 V_th와 T 조합을 테스트하는 체계적인 견고성 탐색 프레임워크를 개발한다.
• Norse 프레임워크를 사용해 MNIST에서 스파이킹 형태의 Lenet-5를 학습하고 강력한 화이트박스 PGD 공격하에서 견고성을 평가한다.
• 학습 가능성 필터를 사용하여 견고성 테스트 이전에 기준 정확도(A_th = 70%)를 넘는지 요구한다.
• 다양한 잡음 예산 ε에서 PGD로 적대적 예시를 생성하고 견고성을 1 - (성공한 공격 / 전체 샘플)으로 측정한다.
• 동일 데이터에 대해 학습된 CNN 기준선과 매개변수 설정별 SNN 견고성을 비교한다.

실험 결과

연구 질문

• RQ1 (Q1) 스파이킹 구조 매개변수(V_th와 T)가 적대적 공격 하에서 SNN 동작에 어떻게 영향을 미치는가?
• RQ2 (Q2) SNN은 본질적으로 적대적 공격에 견고한가, 그리고 이것이 V_th와 T에 어떻게 의존하는가?
• RQ3 (Q3) 높은 기본 정확도가 높은 견고성을 시사하는가, 아니면 특정 매개변수 선택이 학습 가능성과 보안 이점을 모두 제공할 수 있는가?

주요 결과

• 구조 매개변수(V_th, T)가 스파이킹 신경망의 적대적 공격에 대한 견고성에 상당한 영향을 미친다.
• 스파이킹 신경망은 선택된 V_th 및 T 값에 의해 강하게 결정되는 고유한 견고성을 보인다.
• 높은 기본 학습 가능성은 공격하에서의 견고성을 보장하지 않는다.
• 일부 매개변수 조합은 CNN보다 훨씬 높은 견고성을 보여준다; 예를 들어 (V_th, T) = (1, 48)은 강한 공격하에서 CNN보다 최대 85% 더 높은 견고성을 달성한다.
• MNIST에서 다섯 층 SNN은 ε = 1.5인 PGD 공격에 노출되었을 때 CNN 대비 최대 84% 정확도 향상을 달성할 수 있다.
• 이 연구는 재현 가능한 연구를 위한 오픈 소스 코드가 프로젝트 저장소에 제공된다고 한다.