[논문 리뷰] Strong Black-box Adversarial Attacks on Unsupervised Machine Learning Models

Anshuman Chhabra, Abhishek Roy외 1명|arXiv (Cornell University)|2019. 01. 28.

Adversarial Robustness in Machine Learning참고 문헌 13인용 수 5

한 줄 요약

이 논문은 비지도 기계학습 모델, 특히 군집 알고리즘을 대상으로 하는 강력한 반복적 블랙박스 적대적 공격을 제안한다. 이 공격은 사용된 알고리즘과 관계없이 어떤 군집 결과라도 오도하는 변형을 생성한다. 실제 데이터셋에서 네 가지 군집 알고리즘 간에 높은 전이성(transferability)을 보이며, 비지도 모델이 적대적 조작에 취약한 핵심적인 결함을 드러낸다.

ABSTRACT

Machine Learning (ML) and Deep Learning (DL) models have achieved state-of-the-art performance on multiple learning tasks, from vision to natural language modelling. With the growing adoption of ML and DL to many areas of computer science, recent research has also started focusing on the security properties of these models. There has been a lot of work undertaken to understand if (deep) neural network architectures are resilient to black-box adversarial attacks which craft perturbed input samples that fool the classifier without knowing the architecture used. Recent work has also focused on the transferability of adversarial attacks and found that adversarial attacks are generally easily transferable between models, datasets, and techniques. However, such attacks and their analysis have not been covered from the perspective of unsupervised machine learning algorithms. In this paper, we seek to bridge this gap through multiple contributions. We first provide a strong (iterative) black-box adversarial attack that can craft adversarial samples which will be incorrectly clustered irrespective of the choice of clustering algorithm. We choose 4 prominent clustering algorithms, and a real-world dataset to show the working of the proposed adversarial algorithm. Using these clustering algorithms we also carry out a simple study of cross-technique adversarial attack transferability.

연구 동기 및 목표

• 비지도 기계학습 모델, 특히 군집 알고리즘의 블랙박스 적대적 공격에 대한 취약성을 조사하는 것.
• 다양한 군집 알고리즘에 효과적인 강력한 반복적 블랙박스 적대적 공격을 개발하는 것.
• 다양한 군집 기법과 데이터셋 간에 적대적 공격의 전이성 평가하는 것.
• 적대적 샘플이 기반 알고리즘의 선택과 관계없이 항상 군집을 잘못 유도할 수 있음을 보여주는 것.

제안 방법

• 공격은 군집 결과의 오분류를 최대화하는 방식으로 반복 최적화 과정을 통해 적대적 변형을 생성한다.
• 모델 아키텍처나 학습 데이터에 대한 접근이 필요 없는 블랙박스 설정에서 작동한다.
• 입력 특성을 조작하여 샘플을 잘못된 군집으로 이동시킴으로써 군집 목적을 공격한다.
• 공격의 효과성을 검증하기 위해 K-Means, DBSCAN, Agglomerative Clustering, Spectral Clustering의 네 가지 주요 군집 알고리즘이 사용된다.
• 실제 데이터셋에서 공격를 평가하여 실용성과 강건성을 입증한다.
• 다른 군집 기법 간의 전이성은 적대적 샘플의 성공률 측정을 통해 평가된다.

실험 결과

연구 질문

• RQ1 모델 내부 정보에 접근할 수 없는 조건에서 블랙박스 적대적 공격이 비지도 군집 모델을 효과적으로 오도할 수 있는가?
• RQ2 제안된 반복적 공격이 여러 군집 알고리즘에 걸쳐 얼마나 효과적인가?
• RQ3 적대적 샘플이 서로 다른 군집 기법 간에 어느 정도 전이되는가?
• RQ4 군집 알고리즘이 변경되어도, 알고리즘의 고유한 특성과 관계없이 공격가 여전히 효과를 유지하는가?

주요 결과

• 제안된 블랙박스 적대적 공격은 실제 데이터셋에서 테스트된 네 가지 군집 알고리즘 모두를 성공적으로 오도하며, 높은 효과성을 입증한다.
• 공격는 다양한 군집 기법 간에 강력한 성능 유지를 보이며, 알고리즘 간 높은 전이성을 나타낸다.
• 이 방법으로 생성된 적대적 샘플은 사용된 군집 알고리즘과 관계없이 일관되게 잘못된 군집화를 유도한다.
• 공격의 반복적 성격 덕분에 입력 특성을 정밀하게 조작하여 목표 군집 오류를 달성할 수 있다.