[논문 리뷰] Efficient Combinatorial Optimization for Word-level Adversarial Textual Attack

Shengcai Liu, Ning Lü외 2명|arXiv (Cornell University)|2021. 09. 06.

Adversarial Robustness in Machine Learning참고 문헌 49인용 수 5

한 줄 요약

이 논문은 단어 수준의 적대적 텍스트 공격을 위한 국소 검색 알고리즘(LS)을 제안하며, 최적화 문제를 분할 매트로이드 제약 조건이 있는 집합 최대화 문제로 공식화한다. LS는 최대 10배 적은 쿼리 수로 최신 기술 성능을 달성하며 공격 성공률이 높고, 적대적 예제의 품질, 이동성, 그리고 적대적 훈련에서의 강건성 향상도 향상시킨다.

ABSTRACT

Over the past few years, various word-level textual attack approaches have been proposed to reveal the vulnerability of deep neural networks used in natural language processing. Typically, these approaches involve an important optimization step to determine which substitute to be used for each word in the original input. However, current research on this step is still rather limited, from the perspectives of both problem-understanding and problem-solving. In this paper, we address these issues by uncovering the theoretical properties of the problem and proposing an efficient local search algorithm (LS) to solve it. We establish the first provable approximation guarantee on solving the problem in general cases.Extensive experiments involving 5 NLP tasks, 8 datasets and 26 NLP models show that LS can largely reduce the number of queries usually by an order of magnitude to achieve high attack success rates. Further experiments show that the adversarial examples crafted by LS usually have higher quality, exhibit better transferability, and can bring more robustness improvement to victim models by adversarial training.

연구 동기 및 목표

• 단어 수준의 적대적 공격에서 조합 최적화 단계에 대한 이론적 이해 부족과 효율적인 해결 방법의 부족을 해결하기 위해.
• 높은 공격 성공률과 낮은 쿼리 비용을 균형 잡는 쿼리 효율적인 최적화 알고리즘을 개발하기 위해.
• 일반적인 경우에 대해 단어 수준의 적대적 공격 최적화에 대한 첫 번째 증명 가능한 근사 보장을 수립하기 위해.
• 기존의 단어 치환 방법과 미래의 공격 프레임워크와의 즉시 통합을 가능하게 하기 위해.
• 훈련 중 적대적 예제의 품질, 이동성, 강건성 향상 효과를 향상시키기 위해.

제안 방법

• 분할 매트로이드 제약 조건이 있는 집합 최대화 문제로 단어 수준의 적대적 공격 최적화를 공식화하며, 이 문제가 NP-난해임을 증명한다.
• 마진 성과를 고려하면서도 동의어, 의미소 기반, 맥락 인지형의 세 가지 유형의 변형을 고려해 반복적으로 치환을 선택하는 국소 검색 알고리즘(LS)을 제안한다.
• 감소하는 마진 성과 기반의 정지 조건을 도입하여 과도한 쿼리를 방지한다.
• 성능 근사 경계를 도입하여 이 문제 유형에 대해 처음으로 일반적인 이론적 보장을 제공한다.
• 단어 치환 방법에 종속되지 않도록 설계되어, 기존의 어떤 치환 기법과도 즉시 통합이 가능하다.
• 공격 성공률 향상에 가장 큰 즉각적인 기여를 하는 치환을 우선순위로 정렬하는 그레디언트 선택 전략을 사용한다.

실험 결과

연구 질문

• RQ1 단어 수준의 적대적 최적화 문제의 이론적 난이도는 무엇이며, 성능 보장을 수립할 수 있는가?
• RQ2 기울기 정보에 의존하지 않고도 높은 공격 성공률을 달성할 수 있는 쿼리 효율적인 최적화 알고리즘을 설계할 수 있는가?
• RQ3 기존 방법과 비교해 본다면, 제안된 LS 알고리즘은 쿼리 효율성, 성공률, 적대적 예제 품질 측면에서 어떻게 다른가?
• RQ4 LS로 생성된 적대적 예제가 적대적 훈련을 통해 모델의 강건성 향상에 얼마나 기여하는가?
• RQ5 LS는 다양한 단어 치환 방법과 NLP 모델에 일반화될 수 있는가?

주요 결과

• LS는 기준 방법 대비 최대 10배 적은 모델 쿼리를 사용하면서도 5개의 NLP 작업과 26개의 모델에서 높은 공격 성공률을 달성한다.
• LS로 제작된 적대적 예제는 문법적 정확성과 자연스러움이 높아 더 뛰어난 품질의 변형을 제공한다.
• LS로 생성된 예제는 특히 블랙박스 설정에서 다른 모델과 데이터셋 간에 뛰어난 이동성을 보인다.
• LS로 제작된 예제를 사용한 적대적 훈련은 기준 방법의 예제를 사용한 훈련보다 더 큰 강건성 향상 효과를 낳는다.
• LS는 적대적 훈련 이후에도 뛰어난 성능을 유지하여, 기준 접근 방식보다 방어적 미세조정에 덜 민감한 것으로 나타났다.
• LS의 이론적 근사 경계는 일반적인 경우에 대해 단어 수준의 적대적 최적화에 대한 첫 번째 증명 가능한 성능 보장을 제공한다.