[논문 리뷰] The Effects of JPEG and JPEG2000 Compression on Attacks using Adversarial Examples

Ayse Elvan Aydemir, Alptekin Temizel외 1명|arXiv (Cornell University)|2018. 03. 28.

Adversarial Robustness in Machine Learning참고 문헌 9인용 수 21

한 줄 요약

이 논문은 딥러닝 분류기에서 적대적 예측에 대한 사전 처리 방어로 JPEG 및 JPEG2000 압축 기법을 조사한다. JPEG2000는 더 높은 압축 효율성과 낮은 왜곡으로 인해 적대적 노이즈를 더 효과적으로 줄이며, 동일한 PSNR 수준에서 분류 정확도를 더 잘 유지함을 입증한다. 특히 블로킹 아티팩트가 없는 고압축 비율에서도 뛰어난 성능을 보인다.

ABSTRACT

Adversarial examples are known to have a negative effect on the performance of classifiers which have otherwise good performance on undisturbed images. These examples are generated by adding non-random noise to the testing samples in order to make classifier misclassify the given data. Adversarial attacks use these intentionally generated examples and they pose a security risk to the machine learning based systems. To be immune to such attacks, it is desirable to have a pre-processing mechanism which removes these effects causing misclassification while keeping the content of the image. JPEG and JPEG2000 are well-known image compression techniques which suppress the high-frequency content taking the human visual system into account. JPEG has been also shown to be an effective method for reducing adversarial noise. In this paper, we propose applying JPEG2000 compression as an alternative and systematically compare the classification performance of adversarial images compressed using JPEG and JPEG2000 at different target PSNR values and maximum compression levels. Our experiments show that JPEG2000 is more effective in reducing adversarial noise as it allows higher compression rates with less distortion and it does not introduce blocking artifacts.

연구 동기 및 목표

• JPEG 및 JPEG2000 압축 기법이 적대적 예측에 대한 사전 처리 방어로 효과적인지 평가하는 것.
• 적대적 노이즈 하에서 이미지 분류 정확도를 유지하는 데 있어 JPEG와 JPEG2000의 성능를 비교하는 것.
• 다양한 PSNR 수준과 최대 압축 비율이 적대적 공격에 대한 분류기의 강건성에 미치는 영향을 분석하는 것.
• JPEG2000의 뛰어난 압축 특성이 JPEG보다 적대적 노이즈를 더 효과적으로 줄이는지 규명하는 것.

제안 방법

• 저자들은 ImageNet 사전 학습 모델을 사용해 FGSM 및 PGD 공격로 생성한 적대적 예측에 대해 JPEG 및 JPEG2000 압축을 적용한다.
• 다양한 목표 PSNR 값과 최대 압축 수준에서 압축을 적용하여 다양한 왜곡 수준에서의 강건성을 평가한다.
• 압축 이후 분류 정확도를 측정하여 노이즈 억제 효과를 평가한다.
• 실험은 표준 데이터셋과 사전 학습된 모델을 사용하여 수행되며, 결과는 압축 기법과 PSNR 수준 간에 비교된다.
• JPEG에서 흔한 블로킹 아티팩트를 최소화하면서 고주파 적대적 노이즈를 효과적으로 억제할 수 있는지 JPEG2000의 능력을 평가한다.
• 성능 및 강건성 비교를 위해 상위-1 정확도와 PSNR와 같은 정량적 지표를 사용한다.

실험 결과

연구 질문

• RQ1 JPEG2000 압축은 분류 정확도를 유지하면서 JPEG보다 적대적 노이즈를 얼마나 효과적으로 줄이는가?
• RQ2 다양한 PSNR 수준이 JPEG 및 JPEG2000 압축 이후 분류기의 강건성에 어떤 영향을 미치는가?
• RQ3 동일하거나 높은 압축 비율에서 JPEG2000는 JPEG보다 더 높은 분류 정확도를 유지하는가?
• RQ4 JPEG에서 발생하는 블로킹 아티팩트는 압축이 방어 수단으로서의 효과를 얼마나 떨어뜨리는가?
• RQ5 JPEG2000의 높은 압축 효율성과 낮은 왜곡은 적대적 공격에 대한 내성을 향상시키는가?

주요 결과

• JPEG2000는 고압축 수준에서도 더 높은 압축 비율을 달성하면서 낮은 왜곡을 유지한다.
• 동일한 PSNR 값에서 JPEG2000는 JPEG보다 적대적 예측에서 더 높은 분류 정확도를 유지한다.
• JPEG는 고압축 수준에서 뚜렷한 블로킹 아티팩트를 유발하며, 이는 모델의 강건성을 떨어뜨리고 분류 성능을 저하시킨다.
• JPEG2000는 뛰어난 서브밴드 코딩과 부드러운 양자화 덕분에 고주파 적대적 노이즈를 효과적으로 억제한다.
• 높은 압축 효율성과 낮은 왜곡의 조합으로 인해 JPEG2000는 적대적 공격에 대한 사전 처리 방어 수단으로 JPEG보다 더 효과적이다.
• 결과적으로, 특히 고노이즈 환경에서 동일한 압축 조건에서도 JPEG2000는 JPEG보다 분류 정확도를 더 잘 유지한다.