[논문 리뷰] Transferable Universal Adversarial Perturbations Using Generative Models

Atiye Sadat Hashemi, Andreas Bär외 2명|arXiv (Cornell University)|2020. 10. 28.

Adversarial Robustness in Machine Learning참고 문헌 53인용 수 13

한 줄 요약

이 논문은 소스 모델의 첫 번째 레이어 특징에 전적으로 최적화된 적대적 손실을 최적화하는 생성 모델을 훈련시켜, 매우 높은 이식성(transferability)을 갖는 유니버설 적대적 편향(UAPs)을 생성하는 새로운 방법을 제안한다. 초기 레이어 활성화 변화에 초점을 맞추고, 교차 엔트로피 손실와 결합함으로써, 이 방법은 소스 모델에서 93.36%의 새로운 최고 성능(fooling rate)과 다양한 타겟 모델에서 평균 81.53%의 이식성 성능를 달성하여 이전 방법들을 크게 능가한다.

ABSTRACT

Deep neural networks tend to be vulnerable to adversarial perturbations, which by adding to a natural image can fool a respective model with high confidence. Recently, the existence of image-agnostic perturbations, also known as universal adversarial perturbations (UAPs), were discovered. However, existing UAPs still lack a sufficiently high fooling rate, when being applied to an unknown target model. In this paper, we propose a novel deep learning technique for generating more transferable UAPs. We utilize a perturbation generator and some given pretrained networks so-called source models to generate UAPs using the ImageNet dataset. Due to the similar feature representation of various model architectures in the first layer, we propose a loss formulation that focuses on the adversarial energy only in the respective first layer of the source models. This supports the transferability of our generated UAPs to any other target model. We further empirically analyze our generated UAPs and demonstrate that these perturbations generalize very well towards different target models. Surpassing the current state of the art in both, fooling rate and model-transferability, we can show the superiority of our proposed approach. Using our generated non-targeted UAPs, we obtain an average fooling rate of 93.36% on the source models (state of the art: 82.16%). Generating our UAPs on the deep ResNet-152, we obtain about a 12% absolute fooling rate advantage vs. cutting-edge methods on VGG-16 and VGG-19 target models.

연구 동기 및 목표

• 다양한 딥 뉴럴 네트워크 아키텍처 간에 유니버설 적대적 편향(UAPs)의 이식성을 향상시키는 것.
• 기존 UAPs의 한계를 해결하는 것 — 즉, 알려지지 않은 타겟 모델로의 일반화 성능이 떨어지는 문제.
• 다양한 아키텍처 간에 첫 번째 레이어 특징 맵의 구조적 유사성을 활용하여 편향의 일반화 성능를 향상시키는 것.
• 초기 레이어의 적대적 에너지에 집중하는 손실 함수를 개발하여 강건성과 이식성을 향상시키는 것.
• 이미지넷 데이터셋에서 평가했을 때, 폭발률과 다중 모델 간 이식성 측면에서 뛰어난 성능을 입증하는 것.

제안 방법

• 소스 모델(예: ResNet-152)을 사용하여 UAPs를 생성하는 생성 모델을 훈련시켜, 오분류를 극대화하는 방식이다.
• 손실 함수는 첫 번째 합성곱 레이어에 집중된 빠른 특징 폭주 손실(fast feature fool loss)과 교차 엔트로피 손실을 결합하여 편향 생성을 이끌어낸다.
• 다양한 아키텍처 간에 첫 번째 레이어 특징 맵의 관찰된 구조적 유사성(SSIM)을 활용하여, 공통된 취약성 패턴이 존재함을 시사한다.
• 편향는 L∞ 노름(ε=10)으로 제약을 두고, 단계 크기 α=0.7인 반복적 기울기 업데이트를 통해 최적화된다.
• 생성자는 백프로파게이션을 통해 엔드 투 엔드로 훈련되며, 소스 모델에서의 적대적 손실을 극대화하고 이미지 품질을 유지하는 것을 목표로 한다.
• 이식성은 동일한 UAP를 알려지지 않은 타겟 모델에 적용하여, 다양한 아키텍처에서의 폭발률을 측정함으로써 평가된다.

실험 결과

연구 질문

• RQ1 다양한 딥 뉴럴 네트워크 아키텍처 간에 첫 번째 레이어 특징 표현을 활용하여 UAP의 이식성을 향상시킬 수 있는가?
• RQ2 소스 모델의 첫 번째 레이어에 적대적 손실을 집중시키면 더 일반화 가능한 UAPs를 얻을 수 있는가?
• RQ3 폭발률과 다중 모델 간 이식성 측면에서, 제안된 방법은 최고 수준의 UAP 생성 기법들과 비교해 어떻게 성능을 내는가?
• RQ4 소스 모델 아키텍처의 선택(예: 더 깊은 네트워크)이 다른 모델로의 이식성을 극대화하는 데 있어 필수적인가?
• RQ5 재학습 없이도 단일 UAP가 여러 타겟 모델에서 높은 폭발률을 달성할 수 있는가?

주요 결과

• 제안된 방법은 소스 모델에서 93.36%의 새로운 최고 성능 폭발률을 달성하여 이전 최고 성능인 82.16%를 초월한다.
• ResNet-152에서 훈련된 UAP는 다른 모든 타겟 모델에서 평균 81.53%의 폭발률을 기록하여 강력한 이식성 성능를 입증한다.
• VGG-16과 VGG-19를 타겟 모델로 사용했을 때, 이전 최고 성능 대비 폭발률에서 12%p의 절대적 향상을 기록한다.
• ResNet-152에서 생성된 UAP는 VGG-16에서 86.19%의 폭발률, VGG-19에서 82.36%의 폭발률을 기록하여 이전 방법들을 크게 능가한다.
• 더 깊은 소스 모델(예: ResNet-152)을 사용할 경우에도 이 방법은 뛰어난 이식성을 보이며, 더 깊은 모델이 더 일반화 가능한 UAPs를 생성함을 시사한다.
• 실험적 분석을 통해 다양한 아키텍처 간에 첫 번째 레이어 특징 맵이 높은 구조적 유사성(SSIM)을 보임을 확인하여, 초기 레이어에 집중하는 설계 선택의 타당성을 뒷받침한다.