[논문 리뷰] Threat Model-Agnostic Adversarial Defense using Diffusion Models

Tsachi Blau, Roy Ganz외 3명|arXiv (Cornell University)|2022. 07. 17.

Adversarial Robustness in Machine Learning인용 수 14

한 줄 요약

이 논문은 사전 학습된 확산 모델을 사용한 확률적 이미지 복소화를 통한 위협 모델에 종속되지 않는 적대적 방어 기법을 제안한다. 공격을 당한 이미지에 i.i.d. 가우시안 노이즈를 추가하고, 확산 과정을 통해 반복적으로 복소화함으로써, 적대적 편향을 효과적으로 제거하면서도 의미적 내용을 유지한다. 이로 인해 분류기 재학습 없이 다양한 공격 유형에 대해 최신 기술 수준의 강건성을 달성한다.

ABSTRACT

Deep Neural Networks (DNNs) are highly sensitive to imperceptible malicious perturbations, known as adversarial attacks. Following the discovery of this vulnerability in real-world imaging and vision applications, the associated safety concerns have attracted vast research attention, and many defense techniques have been developed. Most of these defense methods rely on adversarial training (AT) -- training the classification network on images perturbed according to a specific threat model, which defines the magnitude of the allowed modification. Although AT leads to promising results, training on a specific threat model fails to generalize to other types of perturbations. A different approach utilizes a preprocessing step to remove the adversarial perturbation from the attacked image. In this work, we follow the latter path and aim to develop a technique that leads to robust classifiers across various realizations of threat models. To this end, we harness the recent advances in stochastic generative modeling, and means to leverage these for sampling from conditional distributions. Our defense relies on an addition of Gaussian i.i.d noise to the attacked image, followed by a pretrained diffusion process -- an architecture that performs a stochastic iterative process over a denoising network, yielding a high perceptual quality denoised outcome. The obtained robustness with this stochastic preprocessing step is validated through extensive experiments on the CIFAR-10 dataset, showing that our method outperforms the leading defense methods under various threat models.

연구 동기 및 목표

• 사전에 알려지지 않은 적대적 위협 모델에 일반화되는 방어 기법을 개발함으로써, 위협 유형에 종속된 적대적 훈련의 한계를 극복한다.
• 생성 모델링을 활용한 전처리 기반 강건화를 통해, 재학습 없이도 어떤 사전 학습된 분류기라도 방어할 수 있도록 한다.
• 확산 샘플링을 통해 훼손된 이미지를 깨끗한 이미지의 다양체로 복원함으로써, 다양한 적대적 공격에 대해 높은 강건성을 확보한다.
• 경량 확산 샘플링 전략을 사용한 부분 샘플링 단계를 통해 계산 효율성을 확보하고 강력한 공격에 저항할 수 있도록 한다.

제안 방법

• 공격을 받은 입력 이미지에 i.i.d. 가우시안 노이즈를 추가한 후, 사전 학습된 확산 모델에 입력한다.
• 확산 과정은 최소 제곱 오차(MMSE) 복소화기와 랭제빈 역학을 통한 제어된 노이즈 주입을 사용한 반복적 복소화를 수행한다.
• 특정 확산 단계에서 노이즈가 첨가된 공격 이미지에서 샘플링을 초기화함으로써, 깨끗한 이미지 분포로 향하는 조건부 생성이 가능해진다.
• 확산 단계 수를 조정함으로써, 시각적 충실도와 편향 제거 사이의 균형을 조절할 수 있도록 설계되었다.
• DDIM 확산 스케줄의 첫 T* 단계만 사용되며, 이로 인해 계산 비용이 감소하고 공격자에게 더 어려운 환경이 조성된다.
• 분류기와 확산 모델은 깨끗한 이미지에서 별도로 학습되므로, 모델에 종속되지 않고 위협 모델에 종속되지 않는 방어가 보장된다.

실험 결과

연구 질문

• RQ1 확산 기반 전처리 방법이 다양한 알려지지 않은 적대적 위협 모델에 대해 강건성을 달성할 수 있는가?
• RQ2 확산 단계 수가 편향 제거와 시각적 품질 사이의 트레이드오프에 어떻게 영향을 미치는가?
• RQ3 확률적이고 비미분 가능한 방어 기법이 Expectation-of-Transform(EOT) 및 기울기 기반 최적화를 사용하는 강력한 화이트박스 공격에 저항할 수 있는가?
• RQ4 깨끗한 데이터에 대해 사전 학습된 확산 모델을 사용하면, 훈련 중에 볼 수 없었던 공격에 대해 효과적인 일반화가 가능한가?

주요 결과

• 제안된 방법은 다양한 위협 모델에 대해 CIFAR-10에서 최신 기술 수준의 강건 정확도를 달성한다. 이는 $L_∞$ 및 $L_2$ 공격을 포함하며, 다양한 편향 예산을 가진다.
• $\epsilon = 8/255$ 및 $\epsilon = 16/255$일 때 $L_\infty$ 위협 모델 하에서 강건 정확도가 90%를 초과하며, 기존의 방어 기반 기법들을 능가한다.
• 단지 14단계의 부분 샘플링 확산 스케줄을 사용할 경우, 가장 강력한 알려진 공격인 화이트박스 + EOT 공격에도 높은 강건성을 유지한다.
• 강건성이 최고로 오르는 최적의 확산 깊이가 존재한다. 너무 적은 단계는 편향을 제거하지 못하고, 너무 많은 단계는 시각적 품질을 떨어뜨리며 정확도를 약 10%로 낮춘다.
• 이 방어 기법은 본질적으로 위협 모델에 종속되지 않으며, 분류기 재학습이나 공격 유형의 지식이 필요하지 않다.
• 확산 샘플링 과정의 확률적이고 비미분 가능한 성격 덕분에 계산 효율성이 뛰어나고 공격에 강건하다.