USAD: Uncertainty-aware Statistical Adversarial Detection

Motivation

• Known: 기존 SAD 방법들은 two-sample test 관점에서 MMD를 test statistic으로 사용하여 clean examples(CEs)와 query 분포 간 차이를 검정하며, unknown 및 adaptive attack에 대해 false-alarm rate를 통제하면서도 강건한 탐지 성능을 보여왔다.
• Gap: MMD는 mean-embedding shift만을 주로 포착하기 때문에 AE가 보이는 abnormal feature spread(global uncertainty)와 perturbation에 대한 불안정성(local uncertainty) 같은 기하학적·불확실성 특성에는 둔감하며, 이로 인해 query window 크기가 작을 때 test power가 급격히 저하되는 sample-inefficiency 문제가 존재한다.
• Why: 공격 유형이나 분류기에 종속되지 않는 model-agnostic, attack-agnostic 탐지 프레임워크는 실제 배포 환경에서 unknown attack과 adaptive attack에 대한 신뢰할 수 있는 방어 수단이 되며, 특히 작은 batch size와 낮은 AE 비율에서도 통계적으로 통제된 false-alarm rate 하에 효과적으로 작동하는 방법은 실용적 가치가 크다.
• Approach: 저자들은 AE가 clean data manifold에서 벗어나 semantic feature 분포에서 비정상적인 spread를 보이는 global uncertainty와, 작은 perturbation에 의해 local decision boundary를 넘나들며 나타나는 local uncertainty라는 두 가지 특성에 착안하여, 이를 각각 VD와 PCD라는 새로운 통계량으로 정량화하고 이를 결합한 USAD를 제안한다.

Achievement

Figure 3. Results (a−h) are test power (detection rate) under different adversarial attacks with different ϵ, the given

1. MMD의 한계 규명: MMD 기반 SAD가 batch size가 작아질수록 test power가 급격히 감소하며, 분산(variance) 차이가 뚜렷함에도 MMD 값 자체는 CE와 AE 간에 크게 겹친다는 것을 실증적으로 보였다.
2. 새로운 통계량 제안: Variance Discrepancy(VD)와 Perturbation-based Covariance Discrepancy(PCD)를 도입하여 각각 global uncertainty와 local uncertainty 차이를 명시적으로 포착하도록 설계했다.
3. 이론적 보장: USAD가 false-alarm rate를 이론적으로 통제함을 증명했다.
4. 실증적 우수성: CIFAR-10과 ImageNet-1K에서 다양한 threat model(ℓ∞, ℓ2 norm, 다양한 perturbation budget, batch size, AE 비율)에 걸쳐 baseline SAD 방법들을 큰 폭으로 능가했으며, 특히 query batch size가 10처럼 매우 작을 때도 ϵ=4/255에서 test power가 거의 1에 도달, baseline 대비 최소 24.8% 향상을 달성했다.
5. Adaptive attack에 대한 강건성: 잘 설계된 adaptive attack에 대해서도 USAD가 견고함을 입증했다.

How

Figure 2. Uncertainty-aware Statistical Adversarial Detection (USAD). The semantic features of CEs X ∼P and queries Y ∼Q

• Section 2.1에서 SAD를 two-sample hypothesis test로 공식화: reference set X (CEs)와 query set Y에 대해 test statistic T(X,Y)를 계산하고 permutation test로 threshold를 결정하여 Type-I error를 통제.
• Figure 1을 통해 MMD 기반 SAD의 한계(batch size에 따른 test power 저하, variance 차이에 대한 둔감성)를 실증적으로 검증.
• Section 3.1에서 VD를 정의: AE와 CE 간 feature spread(분산) 차이를 측정하여 global uncertainty를 포착.
• Section 3.2에서 PCD를 정의: Gaussian perturbation 하에서의 feature covariance를 비교하여 local uncertainty(perturbation에 대한 불안정성)를 포착.
• Section 4에서 VD와 PCD의 상호 의존성을 고려하여 두 통계량을 aggregate(Zhou et al., 2025 방법 참조)하여 최종 test statistic 구성.
• Section 5에서 USAD의 false-alarm rate 통제에 대한 이론적 증명 제시.
• Section 6에서 CIFAR-10, ImageNet-1K 데이터셋 상에서 다양한 attack norm(ℓ∞, ℓ2), perturbation budget(ϵ=8/255~1/255), batch size(80~10), AE 비율(100%~20%) 조건 하에 baseline SAD 방법들과 비교 실험 수행.

Originality

• MMD 기반 SAD가 AE의 uncertainty 패턴(global/local)에 근본적으로 둔감하다는 mismatch를 최초로 명확히 규명하고 실증적으로 시각화함(Figure 1).
• 기존 mean-embedding 기반 discrepancy 대신, feature spread(분산)와 perturbation 하 covariance 안정성이라는 새로운 통계적 관점에서 AE 탐지를 위한 test statistic(VD, PCD)을 설계한 점이 독창적임.
• 두 통계량의 상호 의존성을 고려한 aggregation 방식을 통해 global/local uncertainty를 통합적으로 포착하면서도 이론적 false-alarm rate control을 유지한 점.

Limitation & Further Study

• VD와 PCD가 상정하는 uncertainty 패턴(global spread, local perturbation instability)이 모든 attack 유형에 보편적으로 적용되는지에 대한 근본적 한계가 남아 있으며, 이러한 패턴을 회피하도록 설계된 새로운 adaptive attack에 취약할 가능성이 존재.
• PCD 계산에 필요한 Gaussian perturbation 샘플링 및 covariance 추정은 추가적인 계산 비용을 유발할 수 있어, 실시간 대규모 스트리밍 환경에서의 확장성에 대한 추가 검증이 필요.
• 실험이 CIFAR-10과 ImageNet-1K 등 이미지 도메인에 집중되어 있어, 다른 모달리티(텍스트, 오디오 등)에서의 일반화 가능성은 추후 연구로 남아 있음.
• semantic feature 추출에 사용되는 backbone 모델의 선택이 VD/PCD의 민감도에 미치는 영향에 대한 분석이 제한적일 수 있음.

Evaluation

총평: MMD 기반 SAD의 근본적 한계를 명확히 규명하고 uncertainty 인지 관점에서 새로운 통계량을 제안하여 이론적·실증적으로 강력한 개선을 보여준 잘 구성된 연구로, sample-efficient한 adversarial detection 분야에 의미 있는 기여를 한다.