[논문 리뷰] A3T: Adversarially Augmented Adversarial Training

Akram Erraqabi, Aristide Baratin외 2명|arXiv (Cornell University)|2018. 01. 12.

Adversarial Robustness in Machine Learning참고 문헌 15인용 수 7

한 줄 요약

이 논문은 A3T를 제안하며, 이는 진짜와 적대적인 특징 표현을 구분하도록 훈련하는 판별자(discriminator)를 통해 은닉층에서의 불변성(invariance)을 강제하여 딥 네ural 네트워크의 강건성을 향상시키는 새로운 적대적 훈련 방법이다. 이 방법은 적대적인 MNIST 샘플에서 96.10%의 정확도를 달성하여 표준 적대적 훈련을 능가하며, 분류기와 판별자의 공동 최적화를 통해 일반화 능력 향상을 보였다.

ABSTRACT

Recent research showed that deep neural networks are highly sensitive to so-called adversarial perturbations, which are tiny perturbations of the input data purposely designed to fool a machine learning classifier. Most classification models, including deep learning models, are highly vulnerable to adversarial attacks. In this work, we investigate a procedure to improve adversarial robustness of deep neural networks through enforcing representation invariance. The idea is to train the classifier jointly with a discriminator attached to one of its hidden layer and trained to filter the adversarial noise. We perform preliminary experiments to test the viability of the approach and to compare it to other standard adversarial training methods.

연구 동기 및 목표

• 시각적으로 구분하기 어려운 흐린 노이즈로 인해 잘못 분류되는 딥 네URAL 네트워크의 취약성을 해결한다.
• 적대적 노이즈 하에서 네트워크의 은닉 표현에서의 불변성을 강제함으로써 강건성을 향상시킨다.
• 분류기와 판별자가 상호작용하는 이중 훈련 기반 구조를 도입하여, 판별자가 적대적 특징을 탐지하고, 분류기가 적대적 입력에 대해서도 실제와 유사한 표현을 생성하도록 훈련한다.
• 표준 벤치마크에서 적대적 훈련과 표현 불변성을 판별자를 통해 결합함으로써 강건성이 향상됨을 입증한다.

제안 방법

• 은닉층 ℓ에 판별자 분지(branch)를 부착한 분류기를 훈련하여, 특징을 진짜(t=1) 또는 적대적(t=0)으로 분류하도록 한다.
• 판별자를 통해 진짜 입력과 적대적 입력 간의 표현 불변성을 강제하기 위한 손실 신호를 제공한다.
• 분류기를 혼합 손실(mixed loss)을 사용하여 최적화한다: 진짜 데이터 분류를 위한 교차 엔트로피와, 적대적 예시에서 판별자를 속이기 위한 적대적 손실.
• 이중 교차 엔트로피를 사용하여 판별자를 훈련시켜, 진짜 특징(z = E(x))와 적대적 특징(z = E(x^adv))를 구분하도록 한다.
• 분류 손실에서 진짜와 적대적 데이터의 볼록 조합을 사용하여 표준 적대적 훈련과 결합한다(α = 0.5).
• 에코더에 별도의 손실 항목을 사용한다: −β log D(E(x^adv)), 여기서 β는 불변성 강화의 강도를 조절한다.

실험 결과

연구 질문

• RQ1 판별자를 통해 은닉 표현에서의 불변성을 강제하면 적대적 강건성이 향상되는가?
• RQ2 표준 적대적 훈련과 비교할 때, 제안된 A3T 방법은 적대적 예측에서의 일반화 능력 측면에서 어떻게 성능을 내는가?
• RQ3 적대적 훈련과 표현 수준의 불변성을 결합하면, 개별적으로 각각 적용했을 때보다 더 높은 강건성을 달성하는가?
• RQ4 성능는 β(불변성 강도)와 ε(편향 크기)와 같은 하이퍼파라미터에 얼마나 민감한가?

주요 결과

• A3T는 청소된 MNIST 데이터에서 98.72%의 테스트 정확도를 기록했으며, 청소된 데이터만 고려할 경우 표준 적대적 훈련(98.89%)을 능가했다.
• ε = 0.1인 적대적 예측에서 A3T는 96.10%의 정확도를 달성했으며, 표준 적대적 훈련(94.45%)과 A2T(89.74%)를 모두 뛰어넘었다.
• 이 방법은 분류기가 적대적 예측에 대해 직접 훈련되지 않았음에도 불구하고, 판별자를 통한 특징 불변성 강제가 더 강건한 표현을 생성함을 보여주었다.
• 판별자를 통한 불변성 손실(β = 1)과 표준 적대적 훈련(α = 0.5)을 조합한 것이 전체 성능에서 가장 우수한 성능을 보였다.
• 판별자는 진짜와 적대적 특징을 효과적으로 구분하는 데 성공하여, 이는 은닉 표현의 분포적 차이를 효과적으로 포착했음을 시사한다.
• MNIST에서의 개념 검증이 성공적으로 이루어져, 향후 더 큰 데이터셋과 아키텍처에 대한 확장 가능성에 대한 잠재력을 보여주었다.