[논문 리뷰] Should Adversarial Attacks Use Pixel p-Norm?

Ayon Sen, Xiaojin Zhu외 2명|arXiv (Cornell University)|2019. 06. 06.

Adversarial Robustness in Machine Learning참고 문헌 24인용 수 15

한 줄 요약

이 논문은 적대적 공격에서 이미지 편향에 대한 인간의 인지 수준을 정확히 모델링할 수 있는가를 조사한다. 픽셀 $p$-노름, 지구 이동 거리(EMD), 구조적 유사도(SSIM), 딥 네ural 네트워크(DNN) 임베딩을 대상으로 한다. 인간 참가자들을 대상으로 한 행동 실험을 통해, 이러한 지표들 중 어느 것도 인간의 미세한 차이 감지 수준(JND)을 완벽하게 반영하지 못하는 것으로 나타났지만, 픽셀 3-노름이 시험한 지표들 중에서 가장 유사한 결과를 보였다.

ABSTRACT

Adversarial attacks aim to confound machine learning systems, while remaining virtually imperceptible to humans. Attacks on image classification systems are typically gauged in terms of $p$-norm distortions in the pixel feature space. We perform a behavioral study, demonstrating that the pixel $p$-norm for any $0\le p \le \infty$, and several alternative measures including earth mover's distance, structural similarity index, and deep net embedding, do not fit human perception. Our result has the potential to improve the understanding of adversarial attack and defense strategies.

연구 동기 및 목표

• 일반적으로 사용되는 이미지 왜곡 지표—픽셀 $p$-노름, EMD, SSIM, DNN 표현 방식—이 소규모 이미지 변화에 대한 인간의 인지 수준을 얼마나 정확히 반영하는지 평가하는 것.
• 특히 적대적 공격의 맥락에서, 인간의 미세한 차이 감지 수준(JND)에 가장 가까운 지표를 특정하는 것.
• 적대적 머신러닝 분야에서 $p$-노름(특히 $p=2$)이 인간의 인지 감도에 타당한 대체 지표로 여겨지는 것에 대한 일반적인 가정을 도전하는 것.
• 소규모이고 현실적인 왜곡에 초점을 맞춘 인간 행동 실험을 통한 왜곡 인지에 대한 실증적 증거를 제공하는 것.
• 더 나은 인지적 일치를 보이는 왜곡 지표를 식별함으로써 향후 적대적 공격 및 방어 전략 개발을 안내하는 것.

제안 방법

• 참가자들이 원본 이미지 $\mathbf{x}_0$ 를 보여주고, 그 후 왜곡된 이미지를 제시하는 '원본 보여주고 왜곡 적용' 방식의 인간 행동 실험을 수행.
• 다양한 이미지($\mathbf{x}_0$)와 왜곡 방향(예: FGSM, PGD, $\pm1$ 방향)에서 JND 데이터를 수집하여 인지 임계치를 평가.
• 다양한 왜곡 지표 평가: 픽셀 $p$-노름($p \in [0, \infty]$), EMD, SSIM, DNN 표현 $p$-노름(Inception V3 특징 사용).
• 각 지표를 $\rho(\mathbf{x}_0, \mathbf{0})$ 로 정규화하여, 다양한 지표 간의 JND 판단 변동성 비교를 가능하게 함.
• 정규화된 지표 값의 표준편차를 사용하여 근사 정확도의 지표로 활용: 낮은 표준편차일수록 인간 인지와 더 잘 일치함.
• Kolmogorov-Smirnov 검정을 적용하여 다양한 왜곡 유형(예: 적대적 vs. 무작위 방향) 간의 지표 분포를 비교.

실험 결과

연구 질문

• RQ1 픽셀 $p$-노름, EMD, SSIM, 또는 DNN 표현 방식이 인간의 이미지 왜곡에 대한 미세한 차이 감지 수준(JND)을 정확히 반영하는가?
• RQ2 다양한 이미지 자료와 왜곡 방향에서 시험한 지표들 중에서 인간 JND 판단에 가장 잘 근사하는 것은 무엇인가?
• RQ3 픽셀 공간 내 특정 $p$-노름이 다른 것들보다 인간의 인지 임계치와 더 잘 일치하는가?
• RQ4 DNN 표현 방식(예: Inception V3)은 미세한 이미지 변화 탐지에서 인간 인지 수준과 어떻게 비교되는가?
• RQ5 적대적 왜곡(FGSM, PGD 등)은 단순한 왜곡(예: $\pm1$ 방향)과 비교해 인간 인지 경계에서 얼마나 벗어나 있는가?

주요 결과

• 시험한 지표들—픽셀 $p$-노름, EMD, SSIM, DNN 표현 $p$-노름—중 어느 것도 인간 JND 판단과 완벽하게 일치하지 않아, 현재의 적대적 공격 지표와 인간 인지 사이에 근본적인 불일치가 있음을 시사한다.
• 픽셀 3-노름은 인간 JND 이미지들에 대해 정규화된 지표 값의 표준편차가 가장 낮게 나타나, 모든 시험 지표 중에서 가장 우수한 성능을 보였다.
• 적대적 방향(예: PGD)을 따라 생성된 인간 JND 이미지의 DNN 2-노름 값은 단순한 $\pm1$ 방향(중위수 1.8)과 비교해 유의미하게 높았으며(중위수 13.6), 동일 분포의 근본가설을 기각함(p-value $2.1 \times 10^{-12}$).
• 그림 8에 나타낸 바와 같이, JND 이미지들에 대한 픽셀 3-노름 값의 변동성은 $p=1,2,\infty$, EMD, SSIM, DNN 노름보다 더 일관되었으며, 이는 더 나은 인지적 일치를 의미한다.
• 연구에서 20%의 고인용 논문들이 공격에 $p$-노름을 사용할 때 그 인지적 타당성을 증명 없이 가정했으며, 50%는 관례에 따라 사용함을 확인하여 방법론적 근거의 심각한 격차를 드러냈다.
• DNN 표현 $p$-노름은 높은 변동성(표준편차 > 0.12)을 보였고 척도 불일치 문제로 인해 주요 비교에서 제외되었으며, 이는 인간 인지 임계치에 대한 나쁜 대체 지표임을 시사한다.