[논문 리뷰] VisionGuard: Runtime Detection of Adversarial Inputs to Perception Systems

Yiannis Kantaros, Taylor J. Carpenter외 5명|arXiv (Cornell University)|2020. 02. 23.

Adversarial Robustness in Machine Learning참고 문헌 32인용 수 8

한 줄 요약

VisionGuard는 손실 압축에 민감한 DNN 기반 인식 시스템의 입력에 대해 실시간으로 악성 입력을 탐지하는 경량 런타임 방어 기법이다. MNIST, CIFAR10, ImageNet에서 높은 탐지 정확도를 달성하면서도 낮은 계산 비용을 유도한다.

ABSTRACT

Deep neural network (DNN) models have proven to be vulnerable to adversarial attacks. In this paper, we propose VisionGuard, a novel attack- and dataset-agnostic and computationally-light defense mechanism for adversarial inputs to DNN-based perception systems. In particular, VisionGuard relies on the observation that adversarial images are sensitive to lossy compression transformations. Specifically, to determine if an image is adversarial, VisionGuard checks if the output of the target classifier on a given input image changes significantly after feeding it a transformed version of the image under investigation. Moreover, we show that VisionGuard is computationally-light both at runtime and design-time which makes it suitable for real-time applications that may also involve large-scale image domains. To highlight this, we demonstrate the efficiency of VisionGuard on ImageNet, a task that is computationally challenging for the majority of relevant defenses. Finally, we include extensive comparative experiments on the MNIST, CIFAR10, and ImageNet datasets that show that VisionGuard outperforms existing defenses in terms of scalability and detection performance.

연구 동기 및 목표

• 실시간 응용 프로그램에서 DNN 기반 인식 시스템을 대상으로 하는 악성 공격 증가에 대응하기 위해.
• 다양한 데이터셋과 공격 유형에서 동시에 계산 비용이 적고 효과적인 방어 기법을 개발하기 위해.
• 재학습이나 데이터셋 특화 튜닝 없이 대규모 이미지 영역에서 악성 탐지 기능을 확장 가능한 방식으로 구현하기 위해.

제안 방법

• VisionGuard는 악성 이미지가 자연 이미지와 달리 손실 압축에 매우 민감하다는 관찰을 기반으로 한다.
• 입력 이미지를 손실 압축(예: JPEG)을 사용해 변환하여 변형된 버전을 생성한다.
• 시스템은 원본 이미지와 압축된 이미지에 대한 분류기 출력을 비교하여 악성 입력을 나타내는 심한 출력 이동을 탐지한다.
• 이 방법은 공격 유형에 관계없이, 공격 유형이나 학습 데이터에 대한 사전 지식이 필요 없도록 설계되어 있다.
• 최소한의 오버헤드로 런타임에서 작동하여 실시간 시스템에 적합하다.
• 대상 분류기의 수정 없이 구현되어 즉시 통합이 가능한 플러그 앤 플레이 방식이다.

실험 결과

연구 질문

• RQ1 모델 특화 또는 데이터셋 특화 학습 없이도 경량의 런타임 방어가 악성 입력을 탐지할 수 있는가?
• RQ2 다양한 데이터셋에서 악성 편향을 식별하는 데 손실 압축이 얼마나 효과적인 프로브로 기능하는가?
• RQ3 ImageNet과 같은 대규모 벤치마크에서 VisionGuard는 계산 비용을 최소화하면서도 높은 탐지 정확도를 유지할 수 있는가?
• RQ4 기존 최첨단 방어 기법과 비교해 VisionGuard는 확장성과 성능 면에서 어떤가?
• RQ5 다양한 공격 유형에 대해 적응 없이 일반화 가능한가?

주요 결과

• VisionGuard는 MNIST, CIFAR10, ImageNet에서 기존 방어 기법보다 뛰어난 탐지 성능을 달성한다.
• 강력한 확장성으로 대부분의 이전 방어 기법이 실패하는 계산적으로 도전적인 ImageNet 데이터셋을 성공적으로 처리한다.
• 설계 시점과 런타임 모두에서 낮은 계산 오버헤드를 유지하여 실시간 배포가 가능하다.
• 재학습이나 데이터셋 특화 튜닝 없이도 다양한 공격 유형과 데이터셋에서 효과적이며, 강건성을 확보한다.
• 원본 및 압축된 이미지에 대한 분류기 출력 비교라는 핵심 메커니즘이 악성 입력 식별에 매우 효과적임을 입증한다.