[논문 리뷰] Unravelling Robustness of Deep Learning based Face Recognition Against Adversarial Attacks

Gaurav Goswami, Nalini Ratha외 3명|arXiv (Cornell University)|2018. 02. 22.

Adversarial Robustness in Machine Learning인용 수 65

한 줄 요약

이 논문은 심층 얼굴 인식 시스템(OpenFace, VGG-Face 등)이 현실 세계의 왜곡과 적대적 섭동에 얼마나 취약한지 분석하고, 중간 표현을 이용한 계층별 탐지 방법을 제안하며, 로 robustness를 높이기 위한 선택적 드롭아웃 완화책을 도입한다.

ABSTRACT

Deep neural network (DNN) architecture based models have high expressive power and learning capacity. However, they are essentially a black box method since it is not easy to mathematically formulate the functions that are learned within its many layers of representation. Realizing this, many researchers have started to design methods to exploit the drawbacks of deep learning based algorithms questioning their robustness and exposing their singularities. In this paper, we attempt to unravel three aspects related to the robustness of DNNs for face recognition: (i) assessing the impact of deep architectures for face recognition in terms of vulnerabilities to attacks inspired by commonly observed distortions in the real world that are well handled by shallow learning methods along with learning based adversaries; (ii) detecting the singularities by characterizing abnormal filter response behavior in the hidden layers of deep networks; and (iii) making corrections to the processing pipeline to alleviate the problem. Our experimental evaluation using multiple open-source DNN-based face recognition networks, including OpenFace and VGG-Face, and two publicly available databases (MEDS and PaSC) demonstrates that the performance of deep learning based face recognition algorithms can suffer greatly in the presence of such distortions. The proposed method is also compared with existing detection algorithms and the results show that it is able to detect the attacks with very high accuracy by suitably designing a classifier using the response of the hidden layers in the network. Finally, we present several effective countermeasures to mitigate the impact of adversarial attacks and improve the overall robustness of DNN-based face recognition.

연구 동기 및 목표

• 이미지 왜곡과 적대적 샘플에 의해 딥러닝 기반 얼굴 인식이 상당히 악화될 수 있음을 보여준다.
• 계층별 은닉 표현을 분석하여 적대적 왜곡을 감지하는 방법을 제안한다.
• 왜곡이 감지되었을 때 성능을 회복시키기 위한 완화 전략(선택적 드롭아웃)을 제안한다.

제안 방법

• PaSC와 MEDS 데이터베이스에서 다섯 가지 왜곡 유형(격자 차단, xMSB 잡음, FHBO, ERO, 수염)으로 OpenFace, VGG-Face, LightCNN, L-CSSE 등 다수의 DNN 기반 얼굴 인식 모델을 평가한다.
• 계층별 표현 거리의 SVM로 왜곡 탐지를 위한 은닉 계층의 비정상 필터 응답 동작을 특징화한다.
• 왜곡되지 않은 데이터로부터 계층별 평균 표현을 계산하고 Canberra 거리을 사용해 편차를 정량화하여 탐지에 활용한다.
• 중간 계층 표현을 이용해 왜곡된 입력과 왜곡되지 않은 입력을 구분하는 탐지 모델을 훈련한다.
• 왜곡에 민감한 필터의 최상위 비율을 비활성화하고, 왜곡 하에서의 검증 성능을 향상시키기 위해 중앙값 잡음 제거를 적용한다.

실험 결과

연구 질문

• RQ1 현실적인 왜곡과 학습 기반 적대자에 대해 최첨단 딥 페이스 인식 모델은 얼마나 취약한가?
• RQ2 내부 계층 표현이 적대적 왜곡을 드러내고 출력 라벨을 변경하지 않으면서도 신뢰할 수 있는 탐지를 가능하게 할 수 있는가?
• RQ3 추론 중 왜곡에 민감한 필터를 선택적으로 제거하는 것이 정확도에 큰 타협 없이 강건성을 향상시키는가?

주요 결과

• 딥 러닝 기반 얼굴 인식기는 왜곡(예: 격자, xMSB, FHBO, ERO, 수염) 하에서 COTS 비딥 시스템과 비교하여 상당한 성능 저하를 보인다.
• 계층별 표현 기반 탐지기는 PaSC와 MEDS 전반에서 강력한 탐지 성능을 달성하며 PaSC에서 상위 특징을 사용한 경우 최대 약 97%의 정확도, MEDS에서는 일부 경우 68%까지 낮아지는 등 차이가 있다.
• Canberra-거리 기반의 계층별 특징과 SVM 결합 탐지는 기존의 여러 적대적 탐지 방법보다 우수하며, 특히 DeepFool 및 Universal Perturbations와 같은 구조 주도 공격에 대해 뛰어나다.
• 선택적 드롭아웃과 중앙값 필터 잡음 제거는 적대적 영향을 완화하여 FAR 1%에서 GAR를 향상시키고 MEDS 및 PaSC 데이터셋에서 원래의 성능에 가까워지게 한다.
• 왜곡 이후에 중요한 검증 성능 회복이 가능하며, 적대적 샘플에 대한 런타임 보정의 실용성을 입증한다.