[논문 리뷰] Targeted Attack against Deep Neural Networks via Flipping Limited Weight Bits

Jiawang Bai, Baoyuan Wu외 4명|arXiv (Cornell University)|2021. 02. 21.

Adversarial Robustness in Machine Learning참고 문헌 53인용 수 29

한 줄 요약

본 논문은 배포된 DNN에 대해 제한된 수의 가중치 비트를 반전시키는 타깃팅된 비트 반전 공격을 공식화하고 해결합니다. 이는 특정 샘플을 목표 클래스에 강제로 할당하되 전체 정확도를 유지하도록 하며, ell_p-box ADMM 최적화 접근 방식을 사용합니다.

ABSTRACT

To explore the vulnerability of deep neural networks (DNNs), many attack paradigms have been well studied, such as the poisoning-based backdoor attack in the training stage and the adversarial attack in the inference stage. In this paper, we study a novel attack paradigm, which modifies model parameters in the deployment stage for malicious purposes. Specifically, our goal is to misclassify a specific sample into a target class without any sample modification, while not significantly reduce the prediction accuracy of other samples to ensure the stealthiness. To this end, we formulate this problem as a binary integer programming (BIP), since the parameters are stored as binary bits ($i.e.$, 0 and 1) in the memory. By utilizing the latest technique in integer programming, we equivalently reformulate this BIP problem as a continuous optimization problem, which can be effectively and efficiently solved using the alternating direction method of multipliers (ADMM) method. Consequently, the flipped critical bits can be easily determined through optimization, rather than using a heuristic strategy. Extensive experiments demonstrate the superiority of our method in attacking DNNs.

연구 동기 및 목표

• 제한된 비트 반전을 통해 배포된 모델 매개변수를 수정하여 특정 입력을 목표 클래스로 잘못 분류하게 하는 새로운 공격을 동기 부여하고 연구합니다.
• 비트 반전에 대한 기수 제약이 있는 이진 정수 프로그래밍(Binary Integer Programming) 문제로 문제를 형식화합니다.
• ell_p-box ADMM를 사용하여 반전 시 중요한 비트를 식별하는 효율적인 연속 최적화 솔루션을 개발합니다.
• 양자화된 DNN 및 여러 데이터셋에 걸친 방어에 대해 효과성과 은밀성을 입증합니다.
• 배포 단계 공격의 강건성과 실용적 고려사항에 대한 통찰을 제공합니다.

제안 방법

• 마지막 계층 가중치를 이진 양으로 모델링하고, 대상 샘플에 대해 대상 클래스 로짓을 증가시키고 출발 클래스 로짓을 감소시키는 손실을 정의합니다.
• 보조 정상 샘플에 대한 은밀 목표를 도입하여 다른 입력에 대한 부수적 영향을 제약합니다.
• 문제를 TA-LBF로 변환합니다: 반전된 비트의 한정된 해밍/유클리드 거리 제약 하에서 두 손실의 합을 최소화합니다.
• BIP를 박스 및 구 제약을 다루기 위한 변수 (u1, u2, u3)와 함께 ell_p-box ADMM 접근법을 통해 연속 문제로 재정의합니다.
• u1, u2, u3가 병렬로 업데이트되고, b-hat은 (근사) 기울기 스텝으로 업데이트되며, 이중 변수는 기울기 상승을 통해 업데이트되는 교대 최적화 스킴을 사용합니다.
• 박스 및 구 제약에 대한 투영과 b-hat의 경사 하강 스텝을 포함하는 업데이트 규칙을 제공합니다(도함수에 대한 부록 포함).

실험 결과

연구 질문

• RQ1 배포된 DNN 가중치를 적은 수의 비트만 반전시켜 단일 샘플의 타깃 잘못 분류를 달성할 수 있는가?
• RQ2 연속 ADMM 기반 솔버를 통해 비트 반전을 최적화하는 것이 양자화된 모델 전반에서 휴리스틱 비트 선택 전략보다 성능이 더 우수한가?
• RQ3 piece-wise clustering 같은 방어 및 더 큰 모델 용량에서 TA-LBF 방법은 어떻게 성능을 보이는가?
• RQ4 공격이 비공격 샘플에 대한 영향 제한과 적은 수의 반전만으로 은밀한가?
• RQ5 이 방법이 CIFAR-10과 ImageNet의 서로 다른 아키텍처와 비트 폭에서 확장 가능한가?

주요 결과

• TA-LBF 방법은 테스트된 비트 폭 및 아키텍처 전반에서 매우 적은 수의 비트 반전으로 100% 공격 성공률을 달성합니다.
• TA-LBF는 비목표 입력에 대해 공격 후 정확도를 높게 유지하여 은밀함을 시사합니다.
• TA-LBF는 ASR 및 반전 수 측면에서 휴리스틱 가중치 공격 기반선보다 우수합니다(낮은 N_flip).
• 이 방법은 piece-wise clustering과 더 큰 네트워크 용량과 같은 방어에 대해서도 효과적이며, 해당 설정에서 TA-LBF는 강한 ASR과 비교적 낮은 N_flip를 보입니다.
• 실험은 ResNet 및 VGG 아키텍처의 CIFAR-10과 ImageNet에 걸쳐 TA-LBF의 광범위한 적용 가능성을 보여줍니다.
• 이 접근법은 양자화된 모델로 확장 가능하며 방어 메커니즘에 대한 강건성을 보여주면서도 목표 오분류를 유지합니다.