[논문 리뷰] Amata: An Annealing Mechanism for Adversarial Training Acceleration

Nanyang Ye, Qianxiao Li외 2명|arXiv (Cornell University)|2020. 12. 15.

Adversarial Robustness in Machine Learning참고 문헌 37인용 수 4

한 줄 요약

Amata는 훈련 중에 적대적 공격 반복 수를 동적으로 감소시키는 안내 기반 메커니즘을 제안하여, 정규 방법과 비교해도 강건성을 유지하거나 향상시키면서도 적대적 훈련의 속도를 크게 향상시킨다. 이는 표준 방법 대비 계산 시간의 1/3에서 1/2 수준으로 줄이며, YOPO, Free, Fast, ATTA와 같은 기존 가속 기법들과도 호환된다.

ABSTRACT

Despite the empirical success in various domains, it has been revealed that deep neural networks are vulnerable to maliciously perturbed input data that much degrade their performance. This is known as adversarial attacks. To counter adversarial attacks, adversarial training formulated as a form of robust optimization has been demonstrated to be effective. However, conducting adversarial training brings much computational overhead compared with standard training. In order to reduce the computational cost, we propose an annealing mechanism, Amata, to reduce the overhead associated with adversarial training. The proposed Amata is provably convergent, well-motivated from the lens of optimal control theory and can be combined with existing acceleration methods to further enhance performance. It is demonstrated that on standard datasets, Amata can achieve similar or better robustness with around 1/3 to 1/2 the computational time compared with traditional methods. In addition, Amata can be incorporated into other adversarial training acceleration algorithms (e.g. YOPO, Free, Fast, and ATTA), which leads to further reduction in computational time on large-scale problems.

연구 동기 및 목표

• PGD를 통해 내부 최대화 문제를 반복적으로 해결하는 데 기인한 적대적 훈련의 높은 계산 비용을 해결한다.
• 특히 초기 단계에서 강력한 적대적 예제가 덜 중요한 상황에서 전체 PGD 단계를 계속 사용하는 비효율성을 해결한다.
• 비볼록 최적화의 표준 가정 하에 증명 가능하게 수렴하는, 이론적으로 탄탄한 메커니즘을 개발하여 적대적 훈련에서의 불필요한 계산을 줄인다.
• 기존의 적대적 훈련 가속 기법들과의 원활한 통합을 가능하게 하여 성능과 효율성을 더욱 향상시킨다.
• 적대적 강건성에서의 적응적 훈련 스케줄링에 대한 제어 이론적 기반을 제공한다.

제안 방법

• 훈련이 진행됨에 따라 내부 최대화 문제에서 사용하는 PGD 단계 수를 점차 감소시키는 안내 스케줄을 도입한다.
• 적대적 훈련을 최적 제어 문제로 재구성하고, 페트리아노프의 최대 원리로부터 안내 전략을 유도하여 강건성과 효율성의 균형을 이룬다.
• 시간에 따라 변화하는 단계 수를 사용하는 PGD 공격: 훈련 초반에는 적은 단계 수(예: 1~2)로 시작하여 훈련이 진행됨에 따라 전체 단계 수(예: 10)로 증가시킨다.
• 비볼록 최적화의 표준 가정 하에 증명 가능하게 수렴함을 보임으로써 수렴성을 확보한다.
• 기존의 가속 기법들(예: YOPO, Free, Fast, ATTA)과의 통합을 위해 핵심 알고리즘을 변경하지 않고도 훈련 스케줄만 수정함으로써 통합한다.
• 손실 곡면을 활용하여 안내 스케줄을 이끌어내어, 초기 훈련 단계에서는 약한 적대적 예제를 사용하고, 후반에는 강력한 예제를 사용하도록 한다.

실험 결과

연구 질문

• RQ1 적대적 훈련의 초기 단계에서 PGD 단계 수를 줄이면 계산 비용을 크게 줄일 수 있을까? 이로 인해 강건성이 손상되지 않을까?
• RQ2 제어 이론을 활용하여 적대적 훈련 중 PGD 단계 수를 이론적으로 탄탄한 방식으로 스케줄링할 수 있는 최적의 방법이 존재하는가?
• RQ3 이 안내 메커니즘을 기존의 적대적 훈련 가속 기법들과 조합하여 성능 향상을 더 이룰 수 있는가?
• RQ4 제안된 안내 스케줄이 최소-최대 최적화 맥락에서 증명 가능하게 수렴하는 훈련 동역학을 이끌어낼 수 있는가?
• RQ5 다양한 데이터셋과 아키텍처에서 고정 단계 PGD와 비교해 볼 때, 이 안내 메커니즘은 강건성과 훈련 효율성 측면에서 어떤가?

주요 결과

• CIFAR-10과 ImageNet에서 Amata는 표준 PGD 기반 방법 대비 약 1/3에서 1/2 수준으로 적대적 훈련 시간을 단축시켰다.
• CIFAR-10에서 Amata+YOPO는 294초 만에 94%의 적대적 정확도를 달성했으며, YOPO보다 약 50% 빠르고 약간 더 높은 강건성을 확보했다.
• ImageNet에서 Amata+Free는 훈련 시간을 1318분에서 948분으로 단축하여 약 1/3의 계산 비용 절감을 이뤘고, 30%의 적대적 정확도에 도달했다.
• Amata+ATTA는 초기 에포크에서 리셋 빈도와 단계 수를 줄여 1.5배 빠른 속도로 PGD-20 정확도 58%를 달성했다.
• Amata+Fast는 표준 Fast 적대적 훈련 대비 반으로 줄어든 시간 내에 CIFAR-10에서 72%의 PGD-20 정확도를 달성했으며, 초기 단계에서 약한 초기화를 사용했다.
• 모든 벤치마크에서 강건성이 유지되거나 향상되었으며, 이는 초기 단계에서의 약한 공격이 효과적인 일반화를 위해 충분함을 보여준다.