[논문 리뷰] Universal Adversarial Perturbations: A Survey

Ashutosh Chaubey, Nikhil Agrawal외 3명|arXiv (Cornell University)|2020. 05. 16.

Adversarial Robustness in Machine Learning참고 문헌 46인용 수 27

한 줄 요약

이 종합 검토는 딥러닝에서 보편적 적대적 편향(UAPs)에 대해 포괄적인 개요를 제공하며, UAP 생성을 위한 데이터 기반 및 데이터 독립적 방법, 방어 기법, 비전 및 NLP 작업 전반의 응용 사례를 다룹니다. UAP이 최소한의 계산으로 어떤 입력이라도 속일 수 있는 준지각 가능한, 이동 가능한 편향임을 강조하며, 낮은 데이터 의존성에도 불구하고 높은 속임수 성공률를 달성합니다.

ABSTRACT

Over the past decade, Deep Learning has emerged as a useful and efficient tool to solve a wide variety of complex learning problems ranging from image classification to human pose estimation, which is challenging to solve using statistical machine learning algorithms. However, despite their superior performance, deep neural networks are susceptible to adversarial perturbations, which can cause the network's prediction to change without making perceptible changes to the input image, thus creating severe security issues at the time of deployment of such systems. Recent works have shown the existence of Universal Adversarial Perturbations, which, when added to any image in a dataset, misclassifies it when passed through a target model. Such perturbations are more practical to deploy since there is minimal computation done during the actual attack. Several techniques have also been proposed to defend the neural networks against these perturbations. In this paper, we attempt to provide a detailed discussion on the various data-driven and data-independent methods for generating universal perturbations, along with measures to defend against such perturbations. We also cover the applications of such universal perturbations in various deep learning tasks.

연구 동기 및 목표

• 보편적 적대적 편향(UAPs)을 생성하기 위한 데이터 기반 및 데이터 독립적 방법을系통적으로 분류하고 분석하기.
• Perturbation Rectifying Networks(PRN) 및 최소-최대 학습과 같은 기존의 UAP에 대한 방어 기법을 검토하기.
• 다양한 신경망 아키텍처 간에 UAP의 이동성 및 일반화 성질을 검토하기.
• 이미지 분류, 객체 검출, 의미 세그멘테이션, 깊이 추정, 이미지 검색, 텍스트 분류 등의 작업에서 UAP의 실용적 응용을 탐색하기.
• 실제 구현에서 UAP의 속임수 성공률 향상과 강인성 향상을 위한 열린 과제 및 향후 연구 방향을 규명하기.

제안 방법

• 학습 데이터 의존성에 따라 UAP 생성을 데이터 기반 및 데이터 독립적 접근으로 분류하기.
• Moosavi-Dezfooli 등(2017)의 기법과 유사한 그래디언트 기반 최적화 기법을 사용하여 손실 최대화를 통한 UAP 제작 검토하기.
• GAN을 활용해 UAP를 생성하는 Universal Adversarial Networks(UANs)와 같은 방법 분석하기.
• 데이터 의존 없이 다중 레이어의 중간 특징을 수정하는 특징 오염 기법 검토하기.
• PRN, 최소-최대 최적화, 공유 학습 절차와 같은 방어 전략을 수사하여 모델 강인성 향상 분석하기.
• UAP 생성 효율성과 속임수 성공률 향상을 위해 대체 목표 및 다양성 손실의 사용 평가하기.

실험 결과

연구 질문

• RQ1 데이터 기반 및 데이터 독립적 UAP 생성 방법은 설계 및 효과성 면에서 어떻게 다릅니까?
• RQ2 이동성 및 지각 불가능성과 같은 UAP의 핵심 성질은 무엇이며, 어떻게 달성됩니까?
• RQ3 UAP은 비전 및 NLP를 포함한 다양한 아키텍처와 작업 간에 얼마나 잘 일반화되며, 이는 어떤가요?
• RQ4 UAP에 대응하는 데 가장 효과적인 방어 기법은 무엇이며, 강인성과 확장성 면에서 어떻게 비교됩니까?
• RQ5 현재 UAP 기법의 속임수 성공률 및 실세계 적용 가능성 측면에서의 한계는 무엇입니까?

주요 결과

• UAP은 최신 모델에 대해 최소한의 계산으로 높은 속임수 성공률를 달성하여 실시간 공격에 실용적입니다.
• 데이터 독립적 방법, 예를 들어 특징 오염 기법은 학습 데이터 접근 없이도 UAP를 생성할 수 있어 화이트박스 공격를 가능하게 합니다.
• UAP는 아키텍처 간에 잘 일반화되며, 예측되지 않은 모델로도 이동 가능하여 딥 네트워크의 근본적인 취약성을 보여줍니다.
• PRN 및 최소-최대 학습과 같은 방어 기법은 강인성을 향상시키지만, 항상 효과적이지는 않으며 더 강력한 방어 기법이 필요함을 시사합니다.
• NLP 분야의 UAP, 예를 들어 임베딩 편향을 통한 단어 치환은 의미를 유지하면서 문장을 잘못 분류할 수 있습니다.
• 진전이 있었음에도 불구하고, UAP의 속임수 성공률는 개별 인스턴스 기반 적대적 공격에 비해 아직 낮아 실세계 영향이 제한적입니다.