[논문 리뷰] Using Non-invertible Data Transformations to Build Adversary-Resistant Deep Neural Networks.

Qinglong Wang, Wenbo Guo외 7명|arXiv (Cornell University)|2016. 10. 06.

Adversarial Robustness in Machine Learning참고 문헌 28인용 수 5

한 줄 요약

이 논문은 모델 추론 이전에 비가역적인 데이터 변환—특히 선형 및 비선형 차원 축소—를 적용하여 딥 네ural 네트워크의 적대적 공격에 대한 강건성을 향상시키는 통합 프레임워크를 제안한다. 이 방법은 최신 기법 대비 높은 적대적 저항성을 확보하면서 정확도 저하를 최소화한다.

ABSTRACT

Deep neural networks have proven to be quite effective in a wide variety of machine learning tasks, ranging from improved speech recognition systems to advancing the development of autonomous vehicles. However, despite their superior performance in many applications, these models have been recently shown to be susceptible to a particular type of attack possible through the generation of particular synthetic examples referred to as adversarial samples. These samples are constructed by manipulating real examples from the training data distribution in order to fool the original neural model, resulting in misclassification (with high confidence) of previously correctly classified samples. Addressing this weakness is of utmost importance if deep neural architectures are to be applied to critical applications, such as those in the domain of cybersecurity. In this paper, we present an analysis of this fundamental flaw lurking in all neural architectures to uncover limitations of previously proposed defense mechanisms. More importantly, we present a unifying framework for protecting deep neural models using a non-invertible data transformation--developing two adversary-resilient architectures utilizing both linear and nonlinear dimensionality reduction. Empirical results indicate that our framework provides better robustness compared to state-of-art solutions while having negligible degradation in accuracy.

연구 동기 및 목표

• 모든 아키텍처에 걸쳐 딥 네럴 네트워크의 적대적 샘플에 대한 근본적 취약성을 분석하기 위해.
• 적대적 공격에 대한 기존 방어 기법의 한계를 규명하기 위해.
• 비가역적 데이터 변환을 활용한 모델 강건성 향상의 통합 프레임워크를 개발하기 위해.
• 선형 및 비선형 차원 축소가 적대적 저항성 향상에 있어 비가역 변환으로서의 효과를 평가하기 위해.

제안 방법

• 딥 네럴 네트워크에 입력 데이터를 공급하기 이전에 비가역적 데이터 변환을 적용하여 적대적 편향을 방해하기 위해.
• 입력을 낮은 차원 공간으로 투영하기 위해 PCA와 같은 선형 차원 축소 기법을 활용하기 위해.
• 자동에코더와 같은 비선형 차원 축소 방법을 사용하여 비가역적 표현을 학습하기 위해.
• 입력 처리 파이프라인에 이러한 변환을 통합하여 선형 기반과 비선형 기반의 두 가지 적대자 저항성 있는 신경망 아키텍처를 설계하기 위해.
• 원본 데이터 분포를 가능한 한 유지하면서 변환된 데이터로 딥 네럴 모델을 훈련시켜 정확도를 유지하기 위해.
• 변환이 비가역적이도록 보장하여 악성 사용자가 원본 입력을 복원하고 타겟 적대적 예제를 제작하는 것을 방지하기 위해.

실험 결과

연구 질문

• RQ1 비가역적 데이터 변환이 딥 네럴 네트워크의 적대적 공격에 대한 강건성에 어떤 영향을 미치는가?
• RQ2 선형 대비 비선형 차원 축소 기법은 적대적 예제 방어에 있어 어떤 상대적 이점이 있는가?
• RQ3 비가역 변환이 강건성을 향상시키는 동안 모델 정확도를 얼마나 잘 유지하는가?
• RQ4 비가역 변환 기반의 통합 프레임워크는 기존 최신 기법 대비 뛰어난 성능을 보일 수 있는가?

주요 결과

• 제안된 프레임워크는 최신 기법 대비 적대적 공격에 대한 강건성이 향상됨을 입증하였다.
• 비가역적 변환의 사용으로 인해 입력 공간이 왜곡되어 적대적 편향 제작이 어려워지며, 이로 인해 적대적 공격의 성공률이 크게 감소하였다.
• 선형 및 비선형 차원 축소 기법 모두 효과적으로 모델의 저항성을 향상시켰으며, 비선형 기법이 더 강력한 방어 능력을 보였다.
• 이 프레임워크는 깨끗한 입력에 대한 표준 정확도에서 거의 영향을 받지 않으며, 이로 인해 정확도 유지가 가능했다.
• 변환의 비가역성으로 인해 악성 사용자가 원래 입력을 복원할 수 없어 효과적인 적대적 예제 생성 능력이 제한되었다.