Dummy-Aware Weighted Attack (DAWA): Breaking the Safe Sink in Dummy Class Defenses

논문 개요: DAWA (Dummy-Aware Weighted Attack)

이 논문은 최근 등장한 '더미 클래스 (Dummy Classes)' 기반의 방어 기법이 기존 적대적 공격 평가 방법 (예: AutoAttack) 하에서 과도하게 높은 견고성 (Robustness) 을 보이는 문제를 지적하고, 이를 해결하기 위한 새로운 평가 방법론인 DAWA를 제안합니다.

1. 문제 정의 (Problem Statement)

• 더미 클래스 방어 기법의 작동 원리: 최근 제안된 방어 기법들 (예: DUCAT) 은 분류 모델의 출력 클래스 수를 실제 클래스 수 ($K$) 의 두 배 ($2K$) 로 확장합니다. 여기서 $K+1$부터 $2K$까지는 '더미 클래스'로, 실제 공격 예제 (Adversarial Examples) 가 분류되도록 유도하는 '안전한 싱크 (Safe Sink)' 역할을 합니다.
• 기존 평가 방법의 한계: 기존 표준 공격 (AutoAttack, PGD 등) 은 모델이 진짜 레이블 ($y$) 을 잘못 분류하는 것을 성공으로 간주합니다. 즉, $\arg\max f(\hat{x}) \neq y$가 되면 공격 성공으로 판단합니다.
• 과대평가의 원인: 더미 클래스 방어 기법은 공격 예제가 진짜 레이블에서 벗어나 더미 클래스로 분류되도록 훈련됩니다. 따라서 기존 공격은 진짜 레이블을 피하는 데 성공하면 더미 클래스로 이동하게 되는데, 이는 방어 기법의 의도대로 작동하여 '공격 성공'으로 기록됩니다. 하지만 실제 inference 시 더미 클래스는 원래 레이블로 매핑되거나 무시되므로, 모델은 실제로는 여전히 안전합니다. 이로 인해 방어 기법의 견고성이 현저히 과대평가되는 문제가 발생합니다.

2. 제안 방법: DAWA (Methodology)

저자들은 더미 클래스 방어를 무력화하기 위해 진짜 레이블과 더미 레이블을 동시에 공격하는 새로운 손실 함수와 전략을 제안합니다.

• 핵심 아이디어: 공격의 목표는 단순히 진짜 레이블 ($y$) 을 피하는 것이 아니라, 진짜 레이블 ($y$) 과 짝을 이루는 더미 레이블 ($y+K$) 모두를 피하고, 다른 실제 잘못된 클래스로 분류되도록 만드는 것입니다.
• 수식적 정의:
  • 기존 공격 목표: $z_y - \max_{i \neq y} z_i < 0$
  • DAWA 의 공격 목표: $\max(z_y, z_{y+K}) - \max_{i \notin \{y, y+K\}} z_i < 0$
  • 즉, 진짜 클래스와 더미 클래스 중 가장 높은 로짓 (logit) 이 다른 모든 실제 클래스의 로짓보다 낮아져야 공격이 성공합니다.
• 적응형 가중치 (Adaptive Weighting):
  • 두 목표 (진짜 레이블 감소, 더미 레이블 감소) 를 동시에 달성하기 위해, 두 조건 중 현재 더 중요한 것에 동적으로 가중치를 부여합니다.
  • $L_{DAWA} = \alpha \cdot L_{ce}(\dots, y) + (1-\alpha) \cdot L_{ce}(\dots, y+K)$
  • 여기서 $\alpha$는 $z_y$와 $z_{y+K}$의 차이에 따라 부드럽게 (smoothly) 변하는 시그모이드 함수로 정의되어, 한 번에 하나의 목표만 공격하는 이진 선택의 한계를 극복합니다.
• 구현 세부 사항:
  • MIFPE (Mitigating Floating-Point Error) 의 손실 함수 구조를 차용하여 수치적 오차를 보정합니다.
  • Cosine step-size schedule, Momentum, Multiple target attack 등을 결합하여 효율성을 극대화합니다.
  • DAWAmt: 1,000 회 반복을 통해 더 정교한 공격을 수행하는 확장 버전입니다.

3. 주요 실험 결과 (Key Results)

CIFAR-10 및 CIFAR-100 데이터셋에서 PGD-AT+DUCAT, MART+DUCAT, Consistency-AT+DUCAT 등 주요 더미 클래스 방어 모델에 대해 실험을 수행했습니다.

• 견고성 과대평가 폭격:
  • AutoAttack으로 평가한 PGD-AT+DUCAT (CIFAR-10) 의 견고성은 **58.61%**로 나타났습니다.
  • 반면, **DAWA (100 회 반복)**로 평가했을 때 견고성은 **32.01%**로 급락했습니다.
  • **DAWAmt (1,000 회 반복)**에서는 **29.52%**까지 하락하여, 기존 평가 대비 약 29% 포인트의 견고성이 과대평가되었음을 증명했습니다.
• 효율성:
  • AutoAttack 은 4,900 회 반복이 필요한 반면, DAWA 는 100 회 반복만으로도 AutoAttack 보다 훨씬 강력한 공격 성공률을 기록했습니다.
  • 수렴 속도 측면에서 DAWA 는 AutoAttack 의 최종 성능을 단 3 회 반복 만에 초과하는 빠른 수렴을 보였습니다.
• 기존 공격의 실패:
  • PGD, C&W, MIFPE 등 기존 공격들은 더미 클래스를 '안전한 싱크'로 활용하는 방어 기법 앞에서 효과적이지 못했습니다 (예: PGD-AT+DUCAT 에서 PGD 공격 시 견고성 62.71% 유지).

4. 기여 및 의의 (Contributions & Significance)

1. 근본 원인 규명: AutoAttack 이 더미 클래스 기반 방어의 견고성을 과대평가하는 근본적인 이유 (진짜 레이블만 타겟팅하는 목표 함수와 더미 클래스 싱크 메커니즘 간의 불일치) 를 명확히 규명했습니다.
2. 새로운 평가 기준 제시: DAWA 를 통해 더미 클래스 방어가 실제로 얼마나 취약한지를 드러내는 신뢰할 수 있는 벤치마크를 제시했습니다.
3. 방어 - 공격 진화 사이클의 중요성 강조: 방어 기법이 평가 방법론의 약점을 악용할 수 있음을 보여주며, 지속적인 평가 방법론의 진화가 필요함을 강조했습니다.

5. 결론

이 논문은 더미 클래스 기반 방어 기법이 기존 평가 하에서 가지는 '가짜 견고성 (False Sense of Security)'을 폭로했습니다. DAWA 는 진짜 레이블과 더미 레이블을 동시에 타겟팅하여 이 '안전한 싱크'를 무력화함으로써, 모델의 실제 취약점을 정확히 평가할 수 있게 합니다. 이는 적대적 머신러닝 분야에서 방어 기법이 발전함에 따라 평가 도구도 함께 진화해야 함을 시사하는 중요한 연구입니다.