[논문 리뷰] $n$-ML: Mitigating Adversarial Examples via Ensembles of Topologically Manipulated Classifiers

Mahmood Sharif, Lujo Bauer외 1명|arXiv (Cornell University)|2019. 12. 19.

Adversarial Robustness in Machine Learning참고 문헌 84인용 수 5

한 줄 요약

이 논문은 적대적 예측을 탐지하기 위해 위상 구조를 조작하여 훈련된 딥 네ural 네트워크(DNN) 앙상블을 사용하는 $n$-ML을 제안한다. 이는 적대적 입력을 다르게 분류함으로써 투표 불일치를 유도하여 탐지할 수 있도록 한다. 기존 방어 기법 대비 뛰어난 내성 확보와 최소한의 정확도 저하, 더 빠른 추론 속도를 달성한다.

ABSTRACT

This paper proposes a new defense called $n$-ML against adversarial examples, i.e., inputs crafted by perturbing benign inputs by small amounts to induce misclassifications by classifiers. Inspired by $n$-version programming, $n$-ML trains an ensemble of $n$ classifiers, and inputs are classified by a vote of the classifiers in the ensemble. Unlike prior such approaches, however, the classifiers in the ensemble are trained specifically to classify adversarial examples differently, rendering it very difficult for an adversarial example to obtain enough votes to be misclassified. We show that $n$-ML roughly retains the benign classification accuracies of state-of-the-art models on the MNIST, CIFAR10, and GTSRB datasets, while simultaneously defending against adversarial examples with better resilience than the best defenses known to date and, in most cases, with lower classification-time overhead.

연구 동기 및 목표

• 작은, 인지하기 어려운 변형으로 인해 최신 딥 네ural 네트워크를 우회하는 적대적 예측의 증가하는 위협을 해결하기 위해.
• 기존 방어 기법에서 흔히 발생하는 정상 입력 분류 정확도의 심각한 저하 없이 방어 내성성을 향상시키기 위해.
• 기존 탐지 기반 방어 기법은 종종 높은 계산 비용을 수반하므로, 추론 시간 오버헤드를 줄이기 위해.
• DNN의 제어된 위상적 변형을 통해 앙상블 구성원 간의 불일치를 유도함으로써 적대적 입력을 효과적으로 탐지할 수 있도록 하기 위해.
• 다양한 데이터셋과 공격 설정에서 높은 성능을 유지하는 실용적이고 확장 가능한 방어 기법을 제공하기 위해.

제안 방법

• 위상 구조 조작—새로운 훈련 기법으로, 적대적 예측이 어떻게 분류되어야 할지를 지정할 수 있도록 하면서도 정상 입력에 대한 높은 정확도를 유지한다.
• 각 DNN가 서로 다른 무작위 선택된 클래스 레이블의 데랭ement(순열)을 사용하여 훈련되도록 $n$-ML을 $n$개의 DNN 앙상블로 구성한다. 이는 위상적 다양성을 유도하기 위함이다.
• 분류를 위해 앙상블 내에서 다수결 투표를 사용한다: 만약 임계값을 초과하는 DNN들이 일치하면 입력을 해당 클래스로 분류하고, 그렇지 않으면 적대적 입력으로 간주한다.
• 훈련 중에 수정된 손실 함수를 사용하여 정상 입력은 정확히 분류하고, 적대적 예측은 지정된 다른 예측을 강제한다.
• 흑상자, GRAY상자, 백상자 설정에서 여러 데이터셋(MNIST, CIFAR10, GTSRB)과 공격 유형($L_\infty$, $L_2$)에 대해 이 방법을 적용한다.
• 다수의 버전 프로그래밍 원리를 활용하여, 적대적 예측이 모든 앙상블 구성원을 동시에 속이기 어려워지도록 한다.

실험 결과

연구 질문

• RQ1 위상 구조 조작을 통해 훈련된 DNN 앙상블은 기존 방어 기법보다 더 효과적으로 적대적 예측을 탐지할 수 있는가? 이때 정상 입력 정확도는 유지되는가?
• RQ2 $n$-ML은 다양한 데이터셋(MNIST, CIFAR10, GTSRB)과 다양한 공격 설정(흑상자, GRAY상자, 백상자)에서 어떻게 성능을 발휘하는가?
• RQ3 위상 구조 조작을 통해 DNN가 정상 입력 성능에 영향을 주지 않으면서도 적대적 예측을 어떻게 다르게 분류할 수 있는가?
• RQ4 $n$-ML의 추론 속도는 최신의 적대적 탐지 기법보다 어떻게 비교되는가?
• RQ5 $n$-ML은 낮은 클래스 수 상황(예: $m=2$)에서 어떤 한계를 보이며, 이를 어떻게 보완할 수 있는가?

주요 결과

• 흑상자 설정에서 CIFAR10에서 $n$-ML은 정상 입력 정확도 94.50%를 달성했으며, 크기가 $\frac{8}{255}$인 $L_\infty$-편향된 적대적 예측을 모두 방어했다. 이는 기존 최신 기법보다 정상 입력 정확도 87.24%를 기록했고, 14.02%의 적대적 예측을 우회당한 것보다 뛰어난 성능을 보였다.
• $n$-ML은 다른 최신 기반 탐지 기반 방어 기법보다 최대 $\times$ 199.46배 더 빠른 추론 속도를 보이며 뚜렷한 효율성 향상을 입증했다.
• 이 방법은 최신 기법의 수준과 유사한 정상 입력 정확도(예: CIFAR10에서 최고 표준 DNN의 95.38%)를 유지하면서도 뛰어난 내성 확보를 제공했다.
• 위상적으로 조작된 DNN 간의 불일치를 유도함으로써 앙상블 기반의 투표 메커니즘이 강력한 공격 조건에서도 효과적으로 적대적 입력을 탐지했다.
• 이 방어 기법은 여러 데이터셋과 공격 유형($L_\infty$ 및 $L_2$ 편향)에서 모든 테스트된 위협 모델(흑상자, GRAY상자, 백상자)에서 효과적이었다.
• 주요 한계는 낮은 클래스 수 상황(예: $m=2$)에서 나타났으며, 이 경우 가능한 데랭ement 수가 너무 적어 다양한 앙상블를 구성하기 어려웠다. 이는 이러한 경우에 대체 위상 구조 조작 기법이 필요함을 시사한다.