[논문 리뷰] Adversarial Example Generation

Yatie Xiao, Chi‐Man Pun|arXiv (Cornell University)|2019. 02. 01.

Adversarial Robustness in Machine Learning인용 수 2

한 줄 요약

이 논문은 인간에게 미세하게 감지되지 않는 방식으로 입력 데이터를 변형함으로써 딥 네ural 네트워크에서 적대적 예제를 생성하는 방법을 제안한다. 이는 기울기 기반 최적화를 활용하여 목표 지정된 적대적 예제를 조작하며, 이미지넷에서 성공률가 90% 이상을 기록함으로써 심지어 최첨단 모델들도 이러한 공격에 매우 취약하다는 것을 입증한다.

ABSTRACT

Deep Neural Networks have achieved remarkable success in computer vision, natural language processing, and audio tasks.

연구 동기 및 목표

• 소규모로 인식되지 않는 입력 변형이 잘못 분류를 유도하는 딥 네럴 네트워크의 취약성을 조사하기 위해.
• 모델과 데이터셋 간 전이 가능한 실용적이고 효과적인 적대적 예제 생성 방법을 개발하기 위해.
• 목표 지정 및 비목표 지정 공격에 대한 딥 러닝 모델의 강건성 평가를 위해.
• 다양한 아키텍처와 데이터셋 간 적대적 예제의 성공률와 전이 가능성의 정량적 분석을 위해.

제안 방법

• 입력 기울기의 방향으로 작은 변형을 추가하여 적대적 예제를 생성하기 위해 빠른 기울기 부호 방법(FGSM)을 사용한다.
• 비목표 지정 및 목표 지정 공격 모두에 적용하여 특정 타깃 클래스로 잘못 분류하는 것을 목표로 한다.
• 교차 엔트로피와 L-무한대 노름에서 원래 입력과의 거리 유지 조건을 결합한 손실 함수를 사용한다.
• 다양한 아키텍처 간 적대적 예제의 전이 가능성 평가를 위해 ImageNet에서 모델을 훈련하고 평가한다.
• 반복 최적화를 통해 변형을 정교화하고 공격 성공률를 높이며, 인식되지 않도록 유지한다.
• 일반화성을 입증하기 위해 ResNet, Inception, VGG와 같은 여러 딥 러닝 모델에서 방법을 검증한다.

실험 결과

연구 질문

• RQ1 기울기 기반 적대적 예제 생성은 이미지넷에서 딥 네럴 네트워크를 얼마나 효과적으로 속이는가?
• RQ2 다양한 딥 러닝 아키텍처 간 적대적 예제는 어느 정도 전이되는가?
• RQ3 변형 크기의 영향은 적대적 예제의 성공률와 인식 가능성에 어떤가?
• RQ4 성공률와 강건성 측면에서 목표 지정 공격와 비목표 지정 공격는 어떻게 비교되는가?
• RQ5 최소한의 계산 비용으로도 높은 공격 성공률를 유지하면서 적대적 예제를 생성할 수 있는가?

주요 결과

• 제안된 방법은 단일 단계 기반 기울기 기반 접근을 사용하여 이미지넷에서 목표 지정 공격 성공률가 90% 이상을 달성했다.
• 한 모델에서 생성된 적대적 예제는 다른 모델로 성공적으로 전이되었으며, 전이 비율이 80%를 초과했다.
• L-무한대 노름에서 작은 변형(ε = 8/255)만으로도 최첨단 모델을 속이는 데 충분했다.
• 이 방법은 ResNet, Inception, VGG와 같은 다양한 아키텍처 간에 높은 전이성을 보였다.
• 공격는 여러 데이터셋과 모델 유형에서 효과적이었으며, 딥 네럴 네트워크의 근본적인 취약성을 보여주었다.
• 공격의 성공은 실세계 응용에서 강건성 평가 및 방어 기법의 필요성을 강조한다.