[논문 리뷰] Threat of Adversarial Attacks on Deep Learning in Computer Vision: A Survey

Naveed Akhtar, Ajmal Mian|UWA Profiles and Research Repository (UWA)|2018. 01. 02.

Adversarial Robustness in Machine Learning참고 문헌 156인용 수 168

한 줄 요약

컴퓨터 비전에서 딥 러닝에 대한 적대적 공격에 대한 포괄적 고찰로, 공격 방법, 위협 모델, 전이성, 방어 및 실제 평가를 상세히 다룬다.

ABSTRACT

Deep learning is at the heart of the current rise of machine learning and artificial intelligence. In the field of Computer Vision, it has become the workhorse for applications ranging from self-driving cars to surveillance and security. Whereas deep neural networks have demonstrated phenomenal success (often beyond human capabilities) in solving complex problems, recent studies show that they are vulnerable to adversarial attacks in the form of subtle perturbations to inputs that lead a model to predict incorrect outputs. For images, such perturbations are often too small to be perceptible, yet they completely fool the deep learning models. Adversarial attacks pose a serious threat to the success of deep learning in practice. This fact has lead to a large influx of contributions in this direction. This article presents the first comprehensive survey on adversarial attacks on deep learning in Computer Vision. We review the works that design adversarial attacks, analyze the existence of such attacks and propose defenses against them. To emphasize that adversarial attacks are possible in practical conditions, we separately review the contributions that evaluate adversarial attacks in the real-world scenarios. Finally, we draw on the literature to provide a broader outlook of the research direction.

연구 동기 및 목표

• 컴퓨터 비전용 딥 러닝에 대한 적대적 공격의 전체 구성을 요약한다.
• 작업 전반에 걸친 적대적 섭동의 존재와 특성을 분석한다.
• 다양한 공격에 대한 방어 전략과 그 효과를 검토한다.
• 적대적 공격의 실제 평가 및 실질적 위협 시나리오를 조사한다.
• 향후 방향에 대한 전망을 제시한다.

제안 방법

• 비전 작업에 대한 적대적 공격 방법에 대한 체계적 문헌 고찰.
• 위협 모델(블랙박스, 화이트박스) 및 노름(L0, L2, L_inf)으로 공격 분류.
• 대표적 공격 알고리즘의 기술적 설명(L-BFGS, FGSM, BIM, JSMA, C&W, DeepFool, universal perturbations).
• 분류를 넘어선 공격(오토인코더, VAE, GAN, RNN)과 실제 고려사항에 대한 논의.
• 방어 및 전이성 고려사항의 합성, 미해결 과제에 대한 주석 포함.

실험 결과

연구 질문

• RQ1 컴퓨터 비전에서 딥 러닝 모델을 속이기 위해 사용되는 주요 적대적 공격 방법은 무엇인가?
• RQ2 화이트박스, 블랙박스 및 범용 섭동 설정에서 공격 방법은 어떻게 다른가?
• RQ3 적대적 공격에 대항하는 방어책은 무엇이며 시나리오 전반에서 얼마나 효과적인가?
• RQ4 실험실 데이터 세트를 넘어선 실제 조건에서 적대적 공격은 어떻게 성능을 발휘하는가?
• RQ5 시각 시스템의 적대적 강건성에서의 미해결 과제와 향후 방향은 무엇인가?

주요 결과

• 적대적 섭동은 지각할 수 없는 변화로 비전 모델을 속일 수 있다.
• 전이성은 다른 모델에 대해 설계된 섭동을 사용해 블랙박스 공격을 가능하게 한다.
• 범용 섭동은 이미지와 모델 전반에 일반화되어 높은 속임수 비율을 달성한다.
• 다양한 공격 계통이 존재(L-BFGS, FGSM, BIM, JSMA, C&W, DeepFool, UPSET, ANGRI, Houdini, ATNs)로 노름과 대상이 다르다.
• 방어 기법인 defensive distillation과 같은 방법은 더 강력하고 새로운 공격에 자주 실패하여 지속적인 강건성 이슈를 강조한다.
• 연구 범위는 분류에 한정되지 않고(오토인코더, VAEs, GANs, RNNs와 함께), 실제 세계 평가가 실용적 위협 가능성을 보여준다.