[논문 리뷰] Understanding Adversarial Examples from the Mutual Influence of Images and Perturbations

Chaoning Zhang, Philipp Benz외 2명|arXiv (Cornell University)|2020. 07. 13.

Adversarial Robustness in Machine Learning참고 문헌 50인용 수 4

한 줄 요약

이 논문은 DNN 로짓을 특징 벡터로 간주하여 피어슨 상관계수(PCC)를 사용해 정제된 이미지와 적대적 편향 간 상호 영향을 분석하는 새로운 프레임워크를 제안한다. 이는 일반적인 적대적 편향이 노이즈로 간주되는 기존의 관점을 도전하며, 유니버설 적대적 편향(UAP)이 지배적인 특징을 포함하고 있음을 밝혀내며, 원본 학습 데이터가 없는 조건에서도 프oxy 데이터셋을 이용한 최초의 데이터 프리 타겟팅 UAP 생성을 가능하게 한다. 이로 인해 기존의 원본 학습 데이터가 필요한 최첨단 기법들과 비교해 유사한 성능을 달성한다.

ABSTRACT

A wide variety of works have explored the reason for the existence of adversarial examples, but there is no consensus on the explanation. We propose to treat the DNN logits as a vector for feature representation, and exploit them to analyze the mutual influence of two independent inputs based on the Pearson correlation coefficient (PCC). We utilize this vector representation to understand adversarial examples by disentangling the clean images and adversarial perturbations, and analyze their influence on each other. Our results suggest a new perspective towards the relationship between images and universal perturbations: Universal perturbations contain dominant features, and images behave like noise to them. This feature perspective leads to a new method for generating targeted universal adversarial perturbations using random source images. We are the first to achieve the challenging task of a targeted universal attack without utilizing original training data. Our approach using a proxy dataset achieves comparable performance to the state-of-the-art baselines which utilize the original training dataset.

연구 동기 및 목표

• 정제된 이미지와 유니버설 적대적 공격에서의 편향 간 내재적 관계를 이해하는 것.
• DNN 로짓을 활용한 특징 지배도 분석을 통해 기존의 편향을 추가 노이즈로 간주하는 관점을 도전하는 것.
• 원본 학습 데이터에 접근할 수 없는 조건에서도 타겟팅 유니버설 적대적 편향을 생성하는 방법을 개발하는 것.
• COCO와 같은 프oxy 데이터셋이 데이터 부족 환경에서 타겟팅 UAP 생성에 얼마나 효과적인지 검증하는 것.

제안 방법

• 최상위 활성화 클래스에만 집중하기보다는, DNN 로짓 출력을 특징 분석을 위한 벡터 표현으로 간주하는 것.
• 피어슨 상관계수(PCC)를 사용해 두 개의 독립적 입력(예: 이미지와 편향)이 결합된 로짓 벡터에 미치는 선형적 영향을 정량화하는 것.
• 개별 입력의 로짓 벡터와 그 합의 로짓 벡터 간의 PCC를 계산하여 정제된 이미지와 편향의 기여도를 분리하는 것.
• UAP가 이미지보다 지배적인 특징을 지닌다는 통찰을 바탕으로, 무작위 소스 이미지를 프oxy 데이터셋으로 사용해 타겟팅 UAP 생성 방법을 설계하는 것.
• 식(4)에 제시된 비타겟팅 손실 함수를 활용해 기울기 차단 없이 UAP를 학습시켜 자동으로 클래스 지배도 탐색을 가능하게 하는 것.
• 다양한 네트워크 아키텍처 간에서 도용 비율과 전이 가능성 메트릭을 사용해 성능을 평가하는 것.

실험 결과

연구 질문

• RQ1 유니버설 적대적 예제에서 정제된 이미지와 적대적 편향이 DNN의 로짓 표현에 어떻게 상호 영향을 미치는가?
• RQ2 유니버설 적대적 편향이 적용된 이미지의 특징에 비해 지배적인 특징을 지니는가?
• RQ3 DNN 특징 공간의 맥락에서, 이미지를 UAP의 특징에 비해 노이즈로 간주할 수 있는가?
• RQ4 원본 학습 데이터셋에 접근할 수 없는 조건에서 타겟팅 유니버설 적대적 편향을 생성하는 것이 가능한가?
• RQ5 원본 학습 데이터를 사용하는 최첨단 기법들과 비교해, 데이터 프리 타겟팅 UAP 생성의 성능는 어떻게 되는가?

주요 결과

• 피어슨 상관계수(PCC) 분석 결과, 적대적 예제(AE)는 유니버설 적대적 편향(UAP)과 강하게 상관관계가 있지만, 원본 정제된 이미지와는 약한 상관관계를 보였다.
• UAP는 DNN 특징 공간에서 지배적인 특징을 나타내며, 이에 비해 입력 이미지는 UAP에 대해 노이즈처럼 행동함을 확인하여, 기존의 편향을 추가 노이즈로 간주하는 관점을 도전한다.
• 제안된 방법은 COCO와 같은 프oxy 데이터셋만을 사용해 타겟팅 UAP를 생성하였으며, Inception-V3에서 53.4%의 타겟팅 도용 비율을 달성하여, 기존 최첨단 기법(원본 ImageNet 데이터를 사용해 52% 도달)을 초월하였다.
• 원본 학습 데이터에 접근할 수 없는 조건에서도, 최첨단의 데이터 프리 UAP 생성 방법과 유사한 성능를 달성하여 실용성을 입증하였다.
• 비타겟팅 전이 가능성은 상당히 우수한 편이었으며, 특히 VGG16과 VGG19처럼 유사한 아키텍처 간에는 더 높은 특징 유사도를 나타내는 PCC 값이 관찰되었다.
• 타겟팅 전이 가능성은 낮았으며, 특히 서로 다른 네트워크 패밀리 간에서 두드러지게 낮았다. 이는 이미지 의존적 공격 연구 결과와 일치하며, PCC는 네트워크 전이 가능성에 대한 추가적인 통찰을 제공한다.