Almost for Free: Crafting Adversarial Examples with Convolutional Image Filters

기술 요약: 거의 무료로: 합성곱 이미지 필터를 이용한 적대적 예제 제작

문제 제기
딥러닝의 적대적 예제 (AEs) 는 일반적으로 그래디언트 기반 최적화를 통해 생성되며, 이는 모델 파라미터에 대한 직접적인 접근 (화이트박스) 이나 광범위한 쿼리 기반 근사 (블랙박스) 를 필요로 합니다. 이러한 방법들은 종종 복잡한 최적화 루프, 높은 계산 비용, 그리고 생성 모델 기반 접근법의 경우 수백만 개의 파라미터를 수반합니다. 저자들은 이러한 복잡성이 필수적인지 의문을 제기하며, 신경망이 특정 구조적 교란에 취약하다는 점이 더 간단한 메커니즘을 통해 악용될 수 있음을 제안합니다.

방법론
본 논문은 합성곱 이미지 필터를 사용하여 타겟이 없는 적대적 예제를 제작하는 새로운 접근법을 제안합니다. 방법론은 두 가지 명확한 전략으로 나뉩니다:

1. 에지 필터 공격 (모델 독립적):

   • 영감: 설명 가능한 머신러닝 (Adebayo et al., 2018; Ancona et al., 2018) 에서 영감을 얻어, 저자들은 그래디언트 ($\nabla_x f_\theta(x)$) 를 근사하는 샐리언시 맵과 고전적인 에지 검출 간의 상관관계를 관찰했습니다.
   • 메커니즘: 이 공격은 입력 이미지 $x$에 표준 에지 검출 필터 (구체적으로 소벨 필터) 를 적용하여 에지 맵 $E(x)$를 생성합니다. 교란 $\delta$는 이 에지 맵을 스케일링하여 생성됩니다: $\delta = \rho(E(x)) = \pm \mu E(x)$.
   • 작동: 이는 단일 합성곱 패스만 필요합니다. 저자들은 에지 정보를 빼는 것 ($\mu < 0$) 을 실험적으로 테스트하여 에지를 어둡게 만드는 것이 에지를 추가하는 것보다 약간 더 효과적임을 발견했습니다.

2. 적대적 필터 공격 (모델 의존적):

   • 메커니즘: 고정된 커널을 사용하는 대신, 저자들은 타겟 모델의 손실을 최대화하도록 작은 합성곱 필터 $k$의 가중치를 최적화합니다.
   • 최적화: 필터는 다음을 풀어 훈련됩니다:
     $$\arg\min_k -\sum_{x \in D} \ell(x + x * k, f_\theta(x), \theta) + \lambda \|k\|_2^2$$
     여기서 $D$는 훈련 분포를 대표하는 작은 데이터셋이고, $\ell$은 손실 함수이며, $\lambda$는 교란 강도를 정규화합니다.
   • 효율성: 필터는 작습니다 (예: $3 \times 3$ 또는 $5 \times 5$), 관련 생성 모델에 비해 훨씬 적은 파라미터를 요구합니다. 이 공격은 "원샷" 방식으로, 필터가 최적화된 후 단일 합성곱을 통해 교란을 생성합니다.

주요 기여

• 단순성과 효율성: 저자들은 적대적 예제가 반복적인 그래디언트 업데이트나 복잡한 생성 아키텍처 없이도 제작될 수 있음을 입증했습니다. 제안된 필터는 관련 생성 접근법 (예: Baluja & Fischer, 2018) 에 비해 파라미터 수를 5 차수만큼 줄입니다.
• 전이성: 학습된 적대적 필터는 서로 다른 모델 아키텍처 (VGG-13, ResNet-50, Inception-V3) 간에 높은 전이성을 보입니다. 필터가 하나의 모델을 위해 최적화되었더라도 다른 모델에 적용될 때에도 마찬가지입니다.
• 구조적 통찰: 최적화된 필터는 고유하지만 라플라시안 오브 가우시안과 같은 고전적인 이미지 처리 커널과 구조적 유사성을 공유합니다. 이는 특정 조합의 평활화와 에지 강화가 신경망을 효과적으로 속일 수 있음을 시사합니다.

실험 결과
저자들은 ImageNet V2 데이터셋을 사용하여 ImageNet으로 훈련된 모델 (VGG-13, ResNet-50, Inception-V3) 에서 접근법을 평가했습니다.

• 에지 필터 공격: 고정된 소벨 필터를 사용하여, 공격은 모델과 교란 크기 ($\mu$) 에 따라 30% 에서 80% 사이의 성공률을 달성했습니다. 적응형 방법보다는 덜 효과적이지만, 모델 지식이 필요 없으며 27 개의 파라미터만 필요했습니다.
• 적대적 필터 공격:
  • $3 \times 3$ 필터와 1,000 개의 훈련 예제를 사용하여, PSNR 20 에서 성공률은 VGG 의 경우 56%, ResNet 의 경우 46%, **Inception 의 경우 48%**에 달했습니다.
  • 필터 크기를 $5 \times 5$로 늘리고 훈련 데이터를 3,000 개로 증가시키면 성공률은 ResNet 의 경우 94%, VGG 의 경우 92%, **Inception 의 경우 68%**로 향상되었습니다.
  • 전이성: 한 모델을 위해 최적화된 필터는 다른 모델에서도 높은 효과를 유지했습니다. 예를 들어, ResNet 을 위해 최적화된 필터는 PSNR=20 에서 VGG 에 대해 93% 의 상대적 성공률과 Inception 에 대해 82% 의 성공률을 달성했습니다.
• 교란 특성: 전체 이미지를 덮는 표준 적대적 노이즈와 달리, 이러한 교란은 입력 이미지의 구조적 윤곽을 유지하지만 무색의 국소적 노이즈를 도입합니다. 시각적 검사는 일부 교란은 인지할 수 없음을 보여줍니다 (PSNR > 30), 그러나 PSNR 20 의 경우 에지에서 가시적인 흐림이나 어두워짐을 보여줍니다.

의의 및 주장
본 논문은 그 결과가 효과적인 타겟이 없는 공격에 필요한 복잡성의 하한선을 제공한다고 주장합니다. 저자들은 다음과 같이 주장합니다:

1. 복잡성이 항상 필요한 것은 아님: 높은 성공률을 달성하기 위해 정교한 최적화 전략이 반드시 필요한 것은 아닙니다. 단순하고 최적화된 합성곱 필터로도 충분할 수 있습니다.
2. 신경망의 취약성: 이러한 단순한 필터의 높은 전이성과 성공은 에지 구조를 모방하거나 왜곡하는 특정 악성 노이즈 패턴에 대한 신경망의 근본적인 취약성을 강조합니다.
3. 효율성: 파라미터와 계산 비용의 급격한 감소 (단일 패스) 는 공격 복잡성과 효과성 간의 트레이드오프에 대한 새로운 관점을 제공합니다.

저자들은 겸손하게도, 그들의 단순한 필터가 최첨단 최적화 전략의 절대적 최고 성능과 경쟁할 수는 없지만, 성공적인 적대적 공격을 위한 최소 요구 사항을 이해하는 데 중요한 기준점으로 기능한다고 인정합니다. 그들은 향후 연구가 단순한 필터와 전체 네트워크 아키텍처 간의 격차를 메우기 위해 합성곱의 시퀀스를 탐구할 수 있음을 제안합니다.