[논문 리뷰] Adversarial Training Versus Weight Decay

Angus Galloway, Thomas Tanay외 1명|arXiv (Cornell University)|2018. 04. 10.

Adversarial Robustness in Machine Learning참고 문헌 40인용 수 17

한 줄 요약

이 논문은 딥러닝 모델의 강건성 향상을 위해 적대적 훈련과 가중치 감소를 비교하며, 가중치 감소가 모든 일반화 오차를 줄이고 다양한 변형에 대해 더 나은 일반화를 가능하게 하여 적대적 훈련을 능가함을 보여준다. CIFAR-10에서 기존 기준선 대비 자연 정확도 손실을 최소화하면서도 절대 정확도 향상률이 40%에 이르며, 분포 외 입력에 대해 높은 엔트로피를 유지한다.

ABSTRACT

Performance-critical machine learning models should be robust to input perturbations not seen during training. Adversarial training is a method for improving a model's robustness to some perturbations by including them in the training process, but this tends to exacerbate other vulnerabilities of the model. The adversarial training framework has the effect of translating the data with respect to the cost function, while weight decay has a scaling effect. Although weight decay could be considered a crude regularization technique, it appears superior to adversarial training as it remains stable over a broader range of regimes and reduces all generalization errors. Equipped with these abstractions, we provide key baseline results and methodology for characterizing robustness. The two approaches can be combined to yield one small model that demonstrates good robustness to several white-box attacks associated with different metrics.

연구 동기 및 목표

• 적대적 훈련과 가중치 감소가 적대적 변형에 대한 모델 강건성 향상에 얼마나 효과적인지 평가하고 비교하는 것.
• 적대적 훈련(손실에 대한 이동)과 가중치 감소(손실의 스케일링)의 기하학적 영향이 모델 행동에 미치는 잠재적 요인을 이해하는 것.
• 다양한 공격 유형과 변형 측정 기준에서 잘 작동하는 안정적이고 일반화 능력이 뛰어난 강건성 평가 기준을 개발하는 것.
• 복잡한 적대적 데이터 증강에 의존하지 않고도 작은 단순 모델이 가중치 감소를 통해 경쟁 가능한 강건성을 달성할 수 있음을 보여주는 것.
• 적대적 훈련이 유도하는 취약성을 피하고 더 해석 가능하고 신뢰할 수 있는 방어 메커니즘을 제공하는 것.

제안 방법

• 저자는 적대적 훈련을 손실 함수에 대한 데이터 이동 연산으로 분석하고, 가중치 감소는 손실에 대한 스케일링 연산으로 간주한다.
• 표준 훈련을 사용하여 적대적 예제 없이 L2 가중치 감소를 적용한 작은 저용량의 합성곱 신경망(CNN)을 훈련한다.
• 특히 L0(해밍 거리 기반) 및 Linf 유계 공격에 대해 잘 일반화되도록 모델을 튜닝한다.
• PGD 공격을 다양한 엡실론 값으로 사용하여 강건성을 평가하고, Madry 등이 제시한 기준 방어와 비교한다.
• 대부분의 표현 학습을 평가하기 위해 필터를 시각화하여 가중치 감소 유무에 따라 훈련된 모델을 비교한다.
• L0 유형의 공격에 대한 저항성을 테스트하기 위해 무작위 픽셀 교환 실험을 수행하여, 가중치 감소로 훈련된 모델이 뛰어난 성능을 보임을 입증한다.

실험 결과

연구 질문

• RQ1 가중치 감소는 다양한 변형 유형에서 일반화 오차를 적대적 훈련보다 얼마나 줄이는가?
• RQ2 가중치 감소로 훈련된 단순한 모델이 최신 적대적 훈련 방어 기법과 비슷한 강건성을 달성할 수 있는가?
• RQ3 적대적 훈련은 손실 곡면에 어떤 기하학적 영향을 미치며, 가중치 감소와의 차이는 무엇인가?
• RQ4 가중치 감소로 훈련된 모델은 허위 이미지와 같은 분포 외 입력에 대해 더 잘 일반화되는가?
• RQ5 작은 모델이 가중치 감소를 통해 L0 및 Linf 공격에서 더 큰 적대적으로 훈련된 모델를 능가할 수 있는가?

주요 결과

• 가중치 감소로 훈련된 모델은 이전 기준선 대비 자연 테스트 정확도가 2.4% 감소했음에도 불구하고, 강건성 정확도에서 절대 40% 향상된 성과를 기록했다.
• 해밍 거리 기반 L0 공격에 대해, 적대적 데이터 증강 없이도 Madry 등이 제시한 방어 기법을 능가하는 강건성을 보였다.
• 허위 이미지에 대해 높은 엔트로피의 소프트맥스 출력을 유지하여 신뢰할 수 있는 불확실성 추정을 제공했으며, 이는 Madry 기준 대비 이러한 입력을 확신 있게 잘못 분류하는 경향이 없음을 의미한다.
• 가중치 감소 모델의 필터는 더 매끄럽고 해석 가능했으며, 중요하지 않은 필터는 0으로 설정되어 있어 더 나은 인덕티브 바이어스와 과적합 감소를 시사한다.
• 적대적 훈련은 표면 통계에 맞추어 피팅되면서 데이터의 분리 가능성을 약 ɛ‖w‖₁ 정도로 감소시켜, 고도로 무늬가 있는 필터 패턴을 유도하는 것으로 나타났다.
• 가중치 감소로 훈련된 모델은 다양한 변형 크기와 공격 유형에 걸쳐 더 안정적인 강건성을 보였으며, 이는 적대적 훈련보다 더 넓고 일반화 능력이 뛰어난 인덕티브 바이어스를 제공함을 시사한다.