[논문 리뷰] Adversarially robust transfer learning

Ali Shafahi, Parsa Saadatpanah외 5명|arXiv (Cornell University)|2019. 05. 20.

Adversarial Robustness in Machine Learning참고 문헌 26인용 수 14

한 줄 요약

이 논문은 사전에 적대적으로 트레이닝된 모델에서 유 robust한 특징 추출기를 활용하여, 적대적 트레이닝 없이도 새로운 작업에서 높은 정확도와 강건성을 달성하는 적대적 강건한 전이 학습을 제안한다. 라이프타임 학습 기법인 학습 없이 잊지 않는(LwF) 방법을 사용함으로써, 미세조정 중에도 강건성이 유지되며, CIFAR-100에서 일반화 성능이 약 2% 향상된다.

ABSTRACT

Transfer learning, in which a network is trained on one task and re-purposed on another, is often used to produce neural network classifiers when data is scarce or full-scale training is too costly. When the goal is to produce a model that is not only accurate but also adversarially robust, data scarcity and computational limitations become even more cumbersome. We consider robust transfer learning, in which we transfer not only performance but also robustness from a source model to a target domain. We start by observing that robust networks contain robust feature extractors. By training classifiers on top of these feature extractors, we produce new models that inherit the robustness of their parent networks. We then consider the case of fine tuning a network by re-training end-to-end in the target domain. When using lifelong learning strategies, this process preserves the robustness of the source network while achieving high accuracy. By using such strategies, it is possible to produce accurate and robust models with little data, and without the cost of adversarial training. Additionally, we can improve the generalization of adversarially trained models, while maintaining their robustness.

연구 동기 및 목표

• 적대적 트레이닝이 비용이 많이 들고 데이터가 부족한 저데이터 환경에서 적대적 강건성을 달성하는 데 도전하는 것.
• 적대적 예제로 재트레이닝 없이도 소스 모델에서 타겟 도메인으로 강건성이 전이될 수 있는지 조사하는 것.
• 미세조정 중에 강건성 특징이 상실되는 것을 방지하기 위해 강건성을 유지하는 방법을 개발하는 것.
• 라이프타임 학습을 활용해 적대적으로 트레이닝된 모델의 일반화 성능을 향상시키기 위해 강건한 특징을 전이하는 것.

제안 방법

• 사전에 트레이닝된 적대적으로 트레이닝된 모델(예: ImageNet에서의 Wide-ResNet)의 특징 추출기를 고정하고, 타겟 데이터셋에서만 최종 분류기 헤드를 재트레이닝하여 강건성 전이를 수행한다.
• 학습 없이 잊지 않는(LwF) 방법을 사용해 전체 네트워크를 미세조정하면서 강건성을 유지하며, 소스 모델과 타겟 모델의 특징 표현 유사성을 유도하는 디스틸레이션 손실을 활용한다.
• 소스 모델과 미세조정된 모델 간의 특징 표현 일관성을 확보하기 위해 최전단 레이어 활성화에 ℓ2-노름 디스틸레이션을 적용한다.
• 학습 속도를 향상시키고 LwF 학습 중 온라인 프로퍼게이션을 방지하기 위해 소스 모델의 특징을 오프라인으로 저장한다.
• 워밍스타트 전략을 사용한다: 처음에는 분류기 헤드만 트레이닝하고, 점차 학습률을 줄이며 특징 추출기와 분류기 모두를 미세조정한다.
• LwF 손실의 하이퍼파ram터 λd를 통해 강건성과 일반화 성능 간의 트레이드오프를 제어한다.

실험 결과

연구 질문

• RQ1 적대적 트레이닝 없이도 소스 모델에서 새로운 타겟 도메인으로 강건성이 효과적으로 전이될 수 있는가?
• RQ2 강건한 모델의 엔드 투 엔드 미세조정이 그 모델의 적대적 강건성에 악영향을 미치는가?
• RQ3 LwF와 같은 라이프타임 학습 방법이 미세조정 중 강건한 특징의 상실을 방지할 수 있는가?
• RQ4 강건한 특징 전이가 적대적으로 트레이닝된 모델의 일반화 성능을 향상시킬 수 있는가?
• RQ5 LwF 정규화 강도(λd)가 강건성과 정상 정확도에 미치는 영향은 무엇인가?

주요 결과

• 특징 추출을 통해 ImageNet에서의 강건한 모델을 CIFAR-10으로 전이한 결과, 적대적 트레이닝 없이도 자연 정확도 87.25%와 PGD-20에서의 강건 정확도 45.84%를 달성했다.
• LwF를 사용한 미세조정 중 소스 모델의 강건성이 유지되었으며, 정상 검증 정확도가 향상되어 λd = 1e-7일 때 CIFAR-10에서 89.07%의 정확도를 달성했다.
• CIFAR-100+ 데이터셋에서 LwF는 표준 미세조정 대비 강건한 모델의 일반화 성능을 약 2% 향상시켰으며, 강건성은 유지했다.
• LwF 방법은 적대적으로 트레이닝된 모델의 일반화 갭을 줄였으며, λd = 0.001일 때 CIFAR-100에서 PGD-20 정확도를 22.76%에서 24.31%로 높였다.
• λd의 선택은 강건성과 일반화 성능 간의 트레이드오프에 큰 영향을 미치며, 일부 값(예: 0.1)은 강건성과 정상 정확도를 모두 향상시켰다.
• 실험 결과는 강건성이 특징 추출기에서 기인하며, 이들의 표현을 유지하는 것이 전이 중 강건성을 유지를 위한 핵심임을 보여주었다.