[논문 리뷰] Low Frequency Adversarial Perturbation

Chuan Guo, Jared S. Frank외 1명|arXiv (Cornell University)|2018. 09. 24.

Adversarial Robustness in Machine Learning참고 문헌 31인용 수 74

한 줄 요약

논문은 적대적 교란을 저주파 부분공간(LF-DCT)으로 제한하여 블랙박스 쿼리 비용을 크게 줄이면서 공격 효과를 유지하고, ImageNet에서 경계 및 NES 공격으로 강력한 결과를 보여주며 일부 방어를 우회한다.

ABSTRACT

Adversarial images aim to change a target model's decision by minimally perturbing a target image. In the black-box setting, the absence of gradient information often renders this search problem costly in terms of query complexity. In this paper we propose to restrict the search for adversarial images to a low frequency domain. This approach is readily compatible with many existing black-box attack frameworks and consistently reduces their query cost by 2 to 4 times. Further, we can circumvent image transformation defenses even when both the model and the defense strategy are unknown. Finally, we demonstrate the efficacy of this technique by fooling the Google Cloud Vision platform with an unprecedented low number of model queries.

연구 동기 및 목표

• 적대적 섭동이 저주파 영역에 풍부하다는 개념을 동기 부여하고 형식화한다.
• 섭동을 제약하기 위한 저주파 부분공간(LF-DCT)을 제안한다.
• LF-DCT가 블랙박스 공격의 쿼리 효율성을 개선하는지(경계 공격 및 NES) 보여준다.
• LF-DCT가 이미지 변환 방어를 우회하고 실제 세계 공격 시나리오(예: Google Cloud Vision)를 달성할 수 있음을 보여준다.
• 저주파 섭동의 화이트박스 및 블랙박스 함의를 분석하고 이를 다른 도메인으로의 일반화 가능성에 대해 논의한다.

제안 방법

• 이미지를 DCT 주파수 공간에 표현하고 LF-DCT 샘플링을 왼쪽 상단 rd×rd 계수로 정의한다.
• 절단된 DCT 계수 행렬의 IDCT로 저주파 노이즈를 샘플링한다(IDCT_r).
• 저주파 그라디언트를 LF-DCT 공간에 투사해 저주파 그라디언트 기반 공격을 수행한다.
• LF-DCT 섭동으로 작동하도록 기존의 블랙박스 공격(경계 공격 및 NES)을 수정한다(LF-BA 및 LF-NES).
• Hyperband를 사용해 이미지별 주파수 비(r)를 적응적으로 선택한다.
• JPEG, 비트 깊이 감소와 같은 이미지 변환 방어에 대한 강인성을 시연하고 Google Cloud Vision을 공격한다.

실험 결과

연구 질문

• RQ1 섭동을 저주파 부분공간으로 제한하는 것이 블랙박스 적대적 공격의 효율성을 높이는가?
• RQ2 다양한 이미지에 대해 최적의 저주파 부분공간 크기(r)는 무엇이며, 고정 선택보다 적응 선택이 더 나은가?
• RQ3 LF-DCT 섭동이 일반적인 이미지 변환 방어를 회피하고 실제 세계 플랫폼(예: Google Cloud Vision)에서 성공할 수 있는가?
• RQ4 LF-DCT가 화이트박스 공격 최적화 및 방어된 모델에 대한 전이성에 어떤 영향을 미치는가?

주요 결과

• LF-DCT는 ImageNet(ResNet-50)에서 일반적인 블랙박스 공격의 쿼리 비용을 2–4배로 감소시키다.
• 전체 공간의 1/64 차원 축소(r ≈ 1/8)가 많은 경우에 거의 최적의 적대적 섭동을 산출한다.
• LF-BA와 LF-NES는 RGB 대응보다 성능이 우수해 중간 쿼리 수를 크게 줄인다(LF-BA 약 1128대 vs RGB-BA 약 4020; LF-NES 약 12,444 vs RGB-NES 약 22,389).
• 저주파 섭동은 JPEG 압축 및 비트 깊이 감소 방어를 우회할 수 있으며, 고주파 섭동은 이러한 방어에 취약하다.
• LF-BA는 Google Cloud Vision을 Wi 1,000여 쿼리 정도로 성공적으로 공격할 수 있어 RGB-BA보다 우수하다.