[논문 리뷰] Adversarial Examples for Non-Parametric Methods: Attacks, Defenses and Large Sample Limits.

Yao-Yuan Yang, Cyrus Rashtchian외 2명|arXiv (Cornell University)|2019. 06. 07.

Adversarial Robustness in Machine Learning인용 수 10

한 줄 요약

이 논문은 k-NN, 결정 트리, 랜덤 포레스트와 같은 비모수적 분류기의 일반적인 방어 기법인 적대적 프루닝을 소개한다. 이는 분류기의 분리 가능성 향상을 위해 데이터를 사전 처리하는 방식이다. 다양한 모델에 적용 가능한 새로운 공격을 제안하고, 이론적으로 최적의 강건한 분류기를 유도하며, 유한 표본에서 적대적 프루닝이 이 이상적인 해를 근사함으로써 이전 방법들보다 강건성에서 뛰어나다.

ABSTRACT

Adversarially robust machine learning has received much recent attention. However, prior attacks and defenses for non-parametric classifiers have been developed in an ad-hoc or classifier-specific basis. In this work, we take a holistic look at adversarial examples for non-parametric classifiers, including nearest neighbors, decision trees, and random forests. We provide a general defense method, adversarial pruning, that works by preprocessing the dataset to become well-separated. To test our defense, we provide a novel attack that applies to a wide range of non-parametric classifiers. Theoretically, we derive an optimally robust classifier, which is analogous to the Bayes Optimal. We show that adversarial pruning can be viewed as a finite sample approximation to this optimal classifier. We empirically show that our defense and attack are either better than or competitive with prior work on non-parametric classifiers. Overall, our results provide a strong and broadly-applicable baseline for future work on robust non-parametrics. Code available at this https URL .

연구 동기 및 목표

• 비모수적 분류기의 일반적이고 원리적인 방어 및 공격 기법의 부족을 해결하기 위해 이전에는 특수 모델에 국한되거나 비체계적으로 개발된 바가 있었다.
• k-최근접 이웃, 결정 트리, 랜덤 포레스트를 포함한 다양한 비모수적 모델에 적용 가능한 통합된 방어 전략을 개발하기 위해.
• 표준 분류에서 베이즈 최적 분류기와 유사한 방식으로 비모수적 학습에서의 적대적 편향에 대한 이상적인 강건한 분류기를 이론적으로 도출함으로써 비모수적 학습의 강건성에 대한 이론적 기준을 설정하기 위해.
• 제안된 적대적 프루닝이 이전의 비모수적 모델 방어 기법들에 비해 경쟁력 있거나 뛰어난 강건성을 확보했음을 경험적으로 검증하기 위해.

제안 방법

• 적대적 프루닝을 사전 처리 기반 방어 기법으로 제안하여, 훈련 데이터에서 적대적 예제 또는 변형된 점을 제거함으로써 클래스 간 분리 가능성 향상을 도모한다.
• 다양한 비모수적 분류기에서 적용 가능한 새로운 일반 목적의 공격을 도입하여, 다양한 모델 간 일관된 평가를 가능하게 한다.
• 비모수적 학습을 위한 이상적인 강건한 분류기를 이론적 분석을 통해 도출하며, 이는 표준 분류에서의 베이즈 최적 분류기와 유사하다.
• 적대적 프루닝이 이론적으로 이상적인 분류기의 유한 표본 근사임을 보이며, 방어와 이론 간의 체계적인 연결 고리를 제공한다.
• 새로운 공격에 대한 표준 비모수적 모델에서의 경험적 평가를 통해 이전 방법들과의 강건성 비교를 수행한다.

실험 결과

연구 질문

• RQ1 단일 모델 아키텍처에 국한되지 않는 비모수적 분류기의 일반적인 방어 기법을 개발할 수 있는가?
• RQ2 k-NN, 결정 트리, 랜덤 포레스트에서의 강건성 측면에서 적대적 프루닝은 이전의 방어 기법들보다 어떻게 비교되는가?
• RQ3 적대적 편향 하에서 이론적으로 최적의 비모수적 분류기는 무엇이며, 실무에서 어떻게 근사할 수 있는가?
• RQ4 제안된 공격이 다양한 비모수적 모델 간에 얼마나 일반화되는가?
• RQ5 적대적 프루닝은 이상적인 강건한 분류기의 유한 표본 근사로 해석될 수 있는가?

주요 결과

• 적대적 프루닝은 k-NN, 결정 트리, 랜덤 포레스트의 적대적 예제에 대한 강건성을 크게 향상시킨다.
• 제안된 공격은 여러 비모수적 모델 간에 효과적으로 일반화되어 방어 기법의 일관된 평가를 가능하게 한다.
• 이론적으로 도출된 이상적 분류기는 비모수적 학습에서의 적대적 강건성에 대한 기준을 제공한다.
• 경험적으로 적대적 프루닝이 비모수적 모델에서 이전의 방어 기법들에 비해 경쟁력 있거나 뛰어난 강건성을 확보하고 있음을 입증했다.
• 이 방어 기법이 이론적으로 이상적인 분류기의 유한 표본 근사로 검증되어, 그 효과성에 대한 이론적 기반을 제공한다.