[논문 리뷰] Towards Dependable Deep Convolutional Neural Networks (CNNs) with Out-distribution Learning.

Arezoo Rajabi, Mahdieh Abbasi외 2명|arXiv (Cornell University)|2018. 04. 24.

Adversarial Robustness in Machine Learning참고 문헌 27인용 수 7

한 줄 요약

이 논문은 적대적 예제에 대한 강건성을 향상시키기 위해 딥 컨volution 신경망(CNNs)에 분포 외 학습을 통합하는 것을 제안한다. 적대적 훈련이 필요 없이 분포 외 입력을 탐지하고 거부함으로써, MNIST에서는 95% 이상, CIFAR-10에서는 75% 이상의 거부 또는 정확한 분류 성능를 달성하면서도 청소년 데이터 정확도가 4% 이내로 저하되는 것을 유지한다.

ABSTRACT

Detection and rejection of adversarial examples in security sensitive and safety-critical systems using deep CNNs is essential. In this paper, we propose an approach to augment CNNs with out-distribution learning in order to reduce misclassification rate by rejecting adversarial examples. We empirically show that our augmented CNNs can either reject or classify correctly most adversarial examples generated using well-known methods ( >95% for MNIST and >75% for CIFAR-10 on average). Furthermore, we achieve this without requiring to train using any specific type of adversarial examples and without sacrificing the accuracy of models on clean samples significantly (< 4%).

연구 동기 및 목표

• 안전 임계 및 보안 민감한 시스템에서 신뢰할 수 있는 딥 러닝의 필요성을 해결하기 위해 적대적 예제에 대한 강건성을 향상시키기 위해.
• 적대적 훈련 데이터에 의존하지 않고도 CNN의 적대적 입력에 대한 오분류 비율을 줄이기 위해.
• 청결하고 자연스러운 데이터에서 높은 정확도를 유지하면서 동시에 분포 외 입력 탐지 능력을 크게 향상시키기 위해.
• 특정 공격에 사전 노출되지 않더라도 다양한 적대적 공격 유형에 대해 일반화 가능한 방어 메커니즘을 개발하기 위해.

제안 방법

• 이 방법은 사전 훈련된 CNN의 최종 레이어에 신뢰도 기반 거부 메커니즘을 통합하여 분포 외 탐지 기능을 통합한다.
• 몬테카를로 드롭아웃을 통한 불확실성 추정을 활용하여 훈련 분포에서 크게 벗어난 입력을 식별한다.
• 모델은 적대적 예제를 수집하거나 생성할 필요 없이 오직 분포 내 데이터만으로 훈련된다.
• 예측 엔트로피 또는 신뢰도 점수에 대한 임계값을 적용하여 분포 외로 간주되는 입력을 거부한다.
• 이 방법은 훈련 후 적용되므로 기존 모델에 최소한의 재훈련으로도 구현이 가능하다.

실험 결과

연구 질문

• RQ1 적대적 훈련 없이도 분포 외 학습을 효과적으로 활용해 적대적 예제를 탐지하고 거부할 수 있는가?
• RQ2 분포 외 탐지 기능이 탑재된 CNN이 청결한 데이터에서 정확도를 유지하면서 얼마나 강건성을 향상시킬 수 있는가?
• RQ3 이 방법은 다양한 적대적 공격 유형과 데이터셋에 대해 얼마나 잘 일반화되는가?
• RQ4 제안된 프레임워크에서 거부율과 청결한 정확도 사이의 상충 관계는 어떠한가?

주요 결과

• 제안된 방법은 MNIST 데이터셋에서 적대적 예제의 95% 이상을 성공적으로 거부하거나 정확하게 분류한다.
• CIFAR-10 데이터셋에서는 적대적 예제의 평균 75% 이상을 정확하게 분류하거나 거부한다.
• 이 방법은 원본 모델 대비 청결한 데이터 정확도를 4% 이내로 유지하여 성능 저하가 최소한임을 입증한다.
• 훈련 중 특정 적대적 예제를 포함하지 않더라도 다양한 적대적 공격 방법에 대해 일반화되는 것으로 나타났다.
• 신뢰도 추정을 통한 분포 외 탐지 기법이 인간의 눈으로는 인식하기 어려운 적대적 입력도 효과적으로 이상치로 식별한다.