[논문 리뷰] Frequency-Tuned Universal Adversarial Attacks

Yingpeng Deng, Lina J. Karam|arXiv (Cornell University)|2020. 03. 11.

Adversarial Robustness in Machine Learning참고 문헌 26인용 수 7

한 줄 요약

이 논문은 인간의 대비 감도를 기반으로 한 Just-Noticeable-Difference(JND) 임계값을 사용하여 주파수 도메인에서 최적화하는 새로운 방법인 주파수 조정 유니버설 적대적 공격(FTUAP)을 제안한다. 지역 주파수 성분에 따라 공격 강도를 적응적으로 조정함으로써, 기존의 고정된 공간 도메인 노름(l∞ 등)을 사용하는 기존 유니버설 적대적 공격보다 더 높은 오염률을 달성하면서도 특히 중간 및 고주파 대역에서 뛰어난 정밀도를 유지한다. 이는 화이트박스,_BLK박스, 방어 모델 모두에서 강력한 성능을 보여준다.

ABSTRACT

Researchers have shown that the predictions of a convolutional neural network (CNN) for an image set can be severely distorted by one single image-agnostic perturbation, or universal perturbation, usually with an empirically fixed threshold in the spatial domain to restrict its perceivability. However, by considering the human perception, we propose to adopt JND thresholds to guide the perceivability of universal adversarial perturbations. Based on this, we propose a frequency-tuned universal attack method to compute universal perturbations and show that our method can realize a good balance between perceivability and effectiveness in terms of fooling rate by adapting the perturbations to the local frequency content. Compared with existing universal adversarial attack techniques, our frequency-tuned attack method can achieve cutting-edge quantitative results. We demonstrate that our approach can significantly improve the performance of the baseline on both white-box and black-box attacks.

연구 동기 및 목표

• 기존의 고정된 공간 도메인 노름(l∞ 등)을 사용하지만 인간 시각 인지에 고려하지 않는 유니버설 적대적 공격의 한계를 해결하기 위해.
• 인간의 대비 감도를 기반으로 한 주파수 의존적 JND 임계값을 통합하여 유니버설 편향의 정밀도를 향상시키기 위해.
• 낮음, 중간, 높음 주파수 대역의 영향을 분석하여 공격의 효과성과 가시성 간의 균형을 탐색하기 위해.
• 화이트박스 및 블랙박스 환경, 최신 방어 기술로 보호된 모델을 포함한 공격 성능을 향상시키기 위해.

제안 방법

• 공격 편향을 공간 도메인 대신 이산余弦변환(DCT) 주파수 도메인에서 계산함으로써 주파수 특화 조정이 가능하도록 한다.
• 광도 기반 대비 감도의 매개수 모델에서 유도된 JND 임계값을 사용하여 각 주파수 대역의 편향 진폭을 제약한다.
• 편향의 크기를 JND 제한을 준수하면서 오염률을 최대화하도록 최적화함으로써 시각적 은폐성을 확보한다.
• 개별 또는 조합된 주파수 대역(MF, HF, FF 등)에서 공격를 훈련함으로써 분석 실험을 가능하게 한다.
• 시각화 및 평가를 위해 편향을 공간 도메인으로 변환하며, 동적 범위와 분포를 분석한다.
• 다양한 모델, 방어 모델 포함하여 최상위 1위 정확도 및 오염률을 지표로 성능 평가를 수행한다.

실험 결과

연구 질문

• RQ1 JND 임계값을 기반으로 한 주파수 도메인 편향 조정이 유니버설 적대적 공격의 정밀도를 향상시킬 수 있는가?
• RQ2 낮음, 중간, 높음 주파수 대역의 차이가 공격 효과성과 가시성 간의 균형에 어떤 영향을 미치는가?
• RQ3 주파수 조정 유니버설 적대적 공격이 화이트박스, 블랙박스, 방어 모델 설정에서 기존의 표준 유니버설 공격보다 뛰어난 성능을 보일 수 있는가?
• RQ4 JND 기반 제약 조건이 중간 및 고주파 성분의 최적 편향 솔루션 도출에 기여할 수 있는가?

주요 결과

• FTUAP-FF(전체 주파수)는 'quail' 이미지에서 100%의 오염률을 달성했으며, 'peacock'에서는 99%를 기록하여 기준 UAP보다 뚜렷한 성능 향상을 보였다.
• 방어 모델을 공격했을 때 VGG16에서는 약 15%의 최상위 1위 정확도 감소, GoogLeNet에서는 9% 감소를 기록했으며, 이는 UAP가 4% 미만의 감소를 유발한 것과 비교해 뚜렷한 우월성을 보였다.
• 중간 및 고주파 대역의 편향은 더 높은 오염률과 더 나은 정밀도를 보였으며, FTUAP-MHF는 'brain coral'에서 96%의 오염률을 기록했다.
• 공간 도메인의 편향 값 히스토GRAM은 전체 주파수 공격에서 가우시안 유사 분포를 보이며 균형 잡히고 자연스러운 노이즈임을 나타냈다.
• 단일 주파수 대역 분석 결과, 중간 및 고주파 성분은 JND 제약 조건 내에서 최적의 값을 도달할 가능성이 더 높았고, 저주파 성분은 제약 조건의 한계로 인해 자주 잘린 것으로 나타났다.
• 주파수 조정 기반 접근은 효과성과 정밀도의 균형을 더 잘 달성했으며, FTUAP-FF는 평가된 모든 지표에서 뛰어난 성능을 보였다.