[논문 리뷰] A Unified Wasserstein Distributional Robustness Framework for Adversarial Training

Tuan Anh Bui, Trung Le외 3명|arXiv (Cornell University)|2022. 02. 27.

Adversarial Robustness in Machine Learning인용 수 6

한 줄 요약

이 논문은 점근적 편향 기반의 적대적 훈련(AD) 방법을 일반화하기 위해 분포 기반 편향을 모델링하는 통합 워샤르슈타인 분포로 강건성 프레임워크를 제안한다. 새로운 워샤르슈타인 비용 함수와 위험 형식을 도입함으로써, PGD-AT, TRADES, MART, AWP를 특수한 경우로 포함하는 프레임워크를 구축하여, 새로운 데이터에 대한 일반화 능력을 향상시켜, CIFAR-10과 MNIST에서 표준 AT에 비해 일관된 성능 향상을 보였다.

ABSTRACT

It is well-known that deep neural networks (DNNs) are susceptible to adversarial attacks, exposing a severe fragility of deep learning systems. As the result, adversarial training (AT) method, by incorporating adversarial examples during training, represents a natural and effective approach to strengthen the robustness of a DNN-based classifier. However, most AT-based methods, notably PGD-AT and TRADES, typically seek a pointwise adversary that generates the worst-case adversarial example by independently perturbing each data sample, as a way to "probe" the vulnerability of the classifier. Arguably, there are unexplored benefits in considering such adversarial effects from an entire distribution. To this end, this paper presents a unified framework that connects Wasserstein distributional robustness with current state-of-the-art AT methods. We introduce a new Wasserstein cost function and a new series of risk functions, with which we show that standard AT methods are special cases of their counterparts in our framework. This connection leads to an intuitive relaxation and generalization of existing AT methods and facilitates the development of a new family of distributional robustness AT-based algorithms. Extensive experiments show that our distributional robustness AT algorithms robustify further their standard AT counterparts in various settings.

연구 동기 및 목표

• 점근적 편향 기반의 적대적 훈련에 의존하는 딥 네URAL 네트워크의 취약성을 개선하여, 점근적 편향을 초월한 강건성을 확보하기 위해.
• 기본적인 적대적 훈련과 분포로 강건성 사이의 격차를 워샤르슈타인 기반 프레임워크로 통합함으로써 메우기 위해.
• 일반화 가능하고 분포 인식 강건 훈련 프레임워크를 개발하여, 새로운 데이터에 대한 일반화와 강건성을 향상시키기 위해.
• 분포로 강건성의 실증적 검증을 통해, 워샤르슈타인 거리 기반 방법이 표준 AT보다 적대적 강건성에서 뛰어나다는 것을 입증하기 위해.

제안 방법

• 데이터와 편향된 분포 간의 분포 거리 측정을 위한 새로운 워샤르슈타인 비용 함수를 제안하여, 전체 데이터 분포에 대한 강건 최적화를 가능하게 한다.
• 기존의 표준 AT 방법을 분포로 강건성 프레임워크 내에서 특수한 경우로 포함시키는 통합된 위험 형식을 도입한다.
• 부드러운 비용 함수를 사용하고, 손실와 정규화 기울기의 별도 단계 크기를 적용하여, 적대적 예제 생성 중 푸시와 풀 동역학을 균형 잡는다.
• 투영 없이 다중 기울기 상승 단계를 사용하며, 편향이 $ε$-구역을 초과하는지 여부에 따라 동적 단계 스케일링을 적용하여 안정성과 수렴성을 향상시킨다.
• 데이터세트에 맞는 비용 함수를 채택한다: MNIST에는 $L_{\infty}$, CIFAR-10에는 $L_2$를 사용하여, 모델 예측에 대한 픽셀 기여 패턴에 부합한다.
• 모델 손실과 비용 함수의 기울기 균형을 맞추기 위해 이중 단계 업데이트 전략을 적용하여 정규화 항의 지배를 방지한다.

실험 결과

연구 질문

• RQ1 워샤르슈타인 거리 기반의 분포로 강건성이 기존의 표준 적대적 훈련 방법과 공식적으로 통합될 수 있는가?
• RQ2 점근적 편향 대비 분포 수준에서 적대적 강건성을 모델링할 경우 일반화 능력이 어떻게 향상되는가?
• RQ3 제안된 프레임워크가 PGD-AT, TRADES, MART, AWP와 같은 최신 기술(AT) 방법들을 특수한 경우로 일반화하고 하위 집합으로 포함시킬 수 있는가?
• RQ4 다양한 비용 함수($L_1$, $L_2$, $L_\infty$ 등)가 적대적 예제 생성과 강건성에 미치는 영향은 무엇인가?
• RQ5 제안된 분포로 강건성 프레임워크가 벤치마크 데이터세트에서 표준 AT보다 더 뛰어난 강건성을 달성하는가?

주요 결과

• 제안된 프레임워크는 통합 워샤르슈타인 분포로 강건성 형식 아래에서 PGD-AT, TRADES, MART, AWP를 특수한 경우로 일반화한다.
• 분포로 강건성 접근 방식은 CIFAR-10과 MNIST를 포함한 여러 데이터세트에서 표준 AT보다 일관되게 높은 적대적 강건성을 달성한다.
• 비용 함수에 MNIST에는 $L_{\infty}$, CIFAR-10에는 $L_2$를 사용함으로써 기울기 안정성과 적대적 예제의 품질이 향상되었으며, 데이터 특성에 맞는 희박성 패턴과 일치한다.
• 이중 단계 기울기 업데이트 전략은 손실과 정규화 기울기의 균형을 효과적으로 맞추어 비용 함수의 지배를 방지하고 강건성을 향상시킨다.
• 실증 결과에 따르면, 제안된 분포로 강건성 알고리즘이 벤치마크 데이터세트에서 자연 정확도와 강건 정확도 양면에서 표준 AT 대비 뛰어난 성능을 보였다.
• 히스토그램 분석 결과, 비용 함수의 기울기가 모델 기울기보다 현저히 강력한 것으로 확인되어, 적대적 훈련에서 단계별 균형 조절의 필요성을 뒷받침한다.