
213
10
장
방어
입니다. 이러한 이유로 간단한 근사치(예:
FGSM
및 변형 )를 사용해 훈련 데이터셋을 생성하
는 빠른 적대적 생성 방법을 사용하는 것이 명백히 이롭습니다.
그러나 특정 유형의 적대적 사례를 인식하도록 신경망을 훈련시키기만 하면 됩니다. 속도와 자
원을 위해 적대적 훈련 데이터가 모델 그레이디언트를 근사하는 화이트 박스 방법을 사용해 생
성하면
DNN
은 유사한 방법을 사용해 생성한 적대적 사례의 특성만 인식할 수 있습니다. 공격
자가 다른 방법을 사용해 (가령 그레이디언트를 사용하지 않는 경계 공격과 같은 ) 사례를 생성
하면 방어가 실패합니다. 또한 공격자가 다른 대체 모델에 대해 이와 동일한 간단한 그레이디
언트 접근법을 사용하고 전송 공격의 경우, 방어는 다른 그레이디언트 세트를 사용해 ‘적대적
인’ 것처럼 보이는 것이 무엇인지 알게 되었기 때문에 적대적 사례를 탐지할 수 없습니다. .
“좋습니다. 경계 공격 방법을 사용해 적대적 훈련 데이터를 작성하십시오.”라고 말할 수 있습니
다. 그러나 여기에는 문제가 있습니다. 새로운 적대적 방법이 지속되지 않으므로
DNN
이 완전
히 강력하다는 것을 결코 확신할 수 없습니다. 적대적 훈련은 유사한 방법으로 생성한 훈련 데
이터로부터 얻은 유사한 적대적 입력만을 포착할 수 있습니다. 훈련 데이터를 생성할 ...