[논문 리뷰] Adversarial Training for Free!

Ali Shafahi, Mahyar Najibi외 7명|arXiv (Cornell University)|2019. 04. 29.

Adversarial Robustness in Machine Learning참고 문헌 48인용 수 2

한 줄 요약

이 논문은 표준 역전파에서 유도된 기울기 정보를 재사용하여 추가적인 계산 비용 없이 적대적 예제를 생성하는 새로운 '무료' 적대적 훈련 방법을 제안한다. 이 방법은 PGD 기반 적대적 훈련과 유사한 강건성을 달성한다. 이 방법을 통해 단일 워크스테이션에 4개의 P100 GPU를 사용해 이미지넷 모델을 단 두 날 만에 강건하게 훈련시킬 수 있으며, PGD 공격에 대해 40%의 정확도를 달성한다.

ABSTRACT

Adversarial training, in which a network is trained on adversarial examples, is one of the few defenses against adversarial attacks that withstands strong attacks. Unfortunately, the high cost of generating strong adversarial examples makes standard adversarial training impractical on large-scale problems like ImageNet. We present an algorithm that eliminates the overhead cost of generating adversarial examples by recycling the gradient information computed when updating model parameters. Our "free" adversarial training algorithm achieves comparable robustness to PGD adversarial training on the CIFAR-10 and CIFAR-100 datasets at negligible additional cost compared to natural training, and can be 7 to 30 times faster than other strong adversarial training methods. Using a single workstation with 4 P100 GPUs and 2 days of runtime, we can train a robust model for the large-scale ImageNet classification task that maintains 40% accuracy against PGD attacks. The code is available at https://github.com/ashafahi/free_adv_train.

연구 동기 및 목표

• 적대적 훈련의 높은 계산 비용이 대규모 딥러닝 응용 분야에서의 활용을 제한하는 문제를 해결하기 위해.
• 표준 훈련에서 유도된 기울기를 재사용하여 적대적 예제 생성의 오버헤드를 제거하기 위해.
• 소규모 컴퓨팅 자원으로도 이미지넷과 같은 대규모 데이터셋에서 강건한 모델 훈련을 가능하게 하기 위해.
• 추가적인 훈련 시간 없이도 강력한 PGD 기반 적대적 훈련과 유사한 강건성을 달성하기 위해.

제안 방법

• 이 방법은 동일한 기울기 계산을 사용하여 모델 가중치와 적대적 편향을 동시에 업데이트하는 단일 역전파 단계를 수행한다.
• 역전파 과정에서 입력 편향에 대한 손실의 기울기를 활용하여, 적대적 예제 생성을 위한 별도의 순전파를 피한다.
• 비타겟 적대적 공격 설정을 사용하며, ||δ||_∞ ≤ ϵ 조건 하에 max_δ l(x+δ, y, θ) 를 최대화한다.
• 표준 SGD에 적대적 훈련을 통합하여, 동일한 역전파 단계를 통해 모델 가중치와 편향 업데이트를 모두 수행한다.
• 자연 훈련과 동일한 최적화 기법을 적용하지만, 동일한 역전파 단계에서 편향 업데이트를 포함한다.
• 표준 딥러닝 프레임워크와 호환되며, GAN과 같은 추가 구성 요소나 아키텍처 변경 없이 구현 가능하다.

실험 결과

연구 질문

• RQ1 기울기 계산을 재사용함으로써 적대적 훈련을 자연 훈련 수준의 효율성으로 만들 수 있는가?
• RQ2 모델 가중치와 편향에 모두 동일한 기울기를 재사용할 경우, PGD 기반 적대적 훈련과 유사한 강건성을 유지할 수 있는가?
• RQ3 이 방법은 소규모 하드웨어로도 이미지넷과 같은 대규모 데이터셋에 대해 스케일업 가능한가?
• RQ4 강력한 공격 조건 하에서 '무료' 적대적 훈련의 강건성은 PGD 기반 훈련과 비교해 어떻게 되는가?
• RQ5 이 방법으로 훈련된 고용량 모델은 추가적인 훈련 비용 없이 더 높은 강건성을 달성할 수 있는가?

주요 결과

• 제안된 '무료' 적대적 훈련은 단지 4개의 P100 GPU와 2일간의 훈련으로 이미지넷에서 PGD 공격에 대해 40%의 강건한 정확도를 달성한다.
• CIFAR-10과 CIFAR-100에서 이 방법은 PGD 기반 적대적 훈련과 유사한 강건성을 보이며, 일부 경우에서 약간의 향상도 보였다.
• 기존의 적대적 훈련 방법 대비 7배에서 30배 빠르며, 2-PGD 훈련 대비 3.46배 빠른 성능 향상을 보였다.
• Free 적대적 훈련을 통해 훈련된 ResNet-152는 PGD-50 공격에서 36.99%의 강건한 정확도를 달성했으며, ResNet-50보다 약 4% 높은 강건성을 확보했다.
• 강건성과 함께 높은 자연 정확도(ResNet-152 기준 64.446%)를 유지함으로써, 모델 용량과 강건성이 함께 증가함을 보여주었다.
• 이 방법을 통해 단일 워크스테이션에서 이미지넷에 대한 강건한 훈련이 가능해져, 대규모 GPU 클러스터가 없는 연구소에서도 적대적 훈련을 접근 가능하게 하였다.