[논문 리뷰] Second-Order Adversarial Attack and Certifiable Robustness

Bai Li, Changyou Chen외 2명|arXiv (Cornell University)|2018. 09. 10.

Adversarial Robustness in Machine Learning인용 수 49

한 줄 요약

이 논문은 최신의 적대적 훈련된 모델의 정확도를 크게 감소시키는 새로운 2차 적대적 공격을 소개하며, 이는 인증 가능한 강건성에 대한 새로운 프레임워크 개발을 이끌어냈다. 이 방법은 적대적 예측에 대한 모델 정확도의 증명 가능한 하한을 유도할 수 있으며, 동일한 공격 조건에서 이전 방어 방법에 비해 향상된 강건성과 더 높은 정확도를 보였다.

ABSTRACT

We propose a powerful second-order attack method that outperforms existing attack methods on reducing the accuracy of state-of-the-art defense models based on adversarial training. The effectiveness of our attack method motivates an investigation of provable robustness of a defense model. To this end, we introduce a framework that allows one to obtain a certifiable lower bound on the prediction accuracy against adversarial examples. We conduct experiments to show the effectiveness of our attack method. At the same time, our defense models obtain higher accuracies compared to previous works under our proposed attack.

연구 동기 및 목표

• 강건하게 훈련된 모델의 정확도를 감소시키는 데 있어 기존 방법을 능가하는 더 효과적인 적대적 공격 방법을 개발하는 것.
• 점점 강력해지는 적대적 공격 조건 하에서 방어 모델의 증명 가능한 강건성에 대해 조사하는 것.
• 적대적 변형에 대한 모델 정확도의 인증 가능한 하한을 제공하는 프레임워크를 설계하는 것.
• 새로운 공격 하에서 방어 모델을 평가하고 이전 연구들에 비해 향상된 성능을 입증하는 것.

제안 방법

• 논문은 모델의 손실 표면의 곡률 정보를 활용하여 더 효과적인 적대적 예측을 생성하는 2차 공격을 제안한다.
• 공격를 이중 최적화 문제로 공식화하여, 변형 제약 조건을 만족하면서 모델의 손실을 최대화하는 변형을 최적화한다.
• 변형 탐색 방향을 향상시키기 위해 헤시안-벡터 곱을 사용하여 2차 미분을 계산한다.
• 수학적으로 증명 가능한 하한을 제공하는 새로운 강건성 인증 프레임워크를 도입한다.
• 이 인증 프레임워크는 적대적 훈련으로 훈련된 모델에 적용 가능하며 확장성도 고려하였다.

실험 결과

연구 질문

• RQ1 제안된 2차 공격이 최신의 적대적 훈련된 모델의 정확도를 얼마나 효과적으로 감소시키는가?
• RQ2 제안된 프레임워크를 사용하여 적대적 변형 조건 하에서 모델 정확도의 증명 가능한 하한을 도출할 수 있는가?
• RQ3 새로운 공격 하에서 훈련된 방어 모델의 성능은 이전 방어 방법에 비해 정확도와 강건성 측면에서 어떻게 비교되는가?
• RQ4 2차 공격는 현재의 적대적 훈련 방어에 얼마나 심각한 취약점을 드러내는가?

주요 결과

• 제안된 2차 공격는 기존의 1차 및 2차 공격 방법에 비해 강건하게 훈련된 모델의 정확도 감소에 더 높은 성공률을 기록하였다.
• 새로운 공격 하에서 훈련된 방어 모델은 이전 방어 방법에 비해 더 높은 정상 정확도를 확보하면서도 강력한 강건성을 유지하였다.
• 제안된 인증 프레임워크는 모델 정확도에 대한 인증 가능한 하한을 성공적으로 제공하여, 적대적 예측에 대한 수학적 보장을 제공하였다.
• 실험 결과는 새로운 공격가 이전 방법들보다 더 효과적임을 확인하였으며, 특히 강력한 방어를 갖춘 모델에서 두드러진 성능 향상을 보였다.