[논문 리뷰] Batch Normalization is a Cause of Adversarial Vulnerability

Angus Galloway, Anna Golubeva외 3명|arXiv (Cornell University)|2019. 05. 06.

Adversarial Robustness in Machine Learning참고 문헌 33인용 수 53

한 줄 요약

이 논문은 배치 정규화가 적대적 취약성을 높이고 노이즈에 대한 견고성을 감소시킨다는 것을 보여주며, 배치 정규화를 제거하거나 L2 가중치 감소를 추가하는 것이 깨끗한 정확도에 큰 손실을 보지 않으면서 견고성을 향상시킬 수 있음을 시사한다.

ABSTRACT

Batch normalization (batch norm) is often used in an attempt to stabilize and accelerate training in deep neural networks. In many cases it indeed decreases the number of parameter updates required to achieve low training error. However, it also reduces robustness to small adversarial input perturbations and noise by double-digit percentages, as we show on five standard datasets. Furthermore, substituting weight decay for batch norm is sufficient to nullify the relationship between adversarial vulnerability and the input dimension. Our work is consistent with a mean-field analysis that found that batch norm causes exploding gradients.

연구 동기 및 목표

• 신경망의 견고성 문제에 대한 동기를 제시하고 견고성을 감소시키는 요인을 조사하며, 배치 정규화(BN)에 초점을 맞춘다.
• BN이 표준 데이터셋과 모델에서 적대적 취약성과 노이즈 견고성에 미치는 영향을 경험적으로 평가한다.
• BN의 존재가 입력 차원과 취약성 사이의 관찰된 관계를 설명하는지 여부를 탐구한다.
• 정규화의 대안(예: L2 가중치 감소)이 정확도를 크게 희생하지 않으면서 견고성을 회복할 수 있는지 여부를 확인한다.

제안 방법

• 배치 정규화의 메커니즘과 전활성화에 대한 영향을 검토하고 분석한다. (Eq. 1)
• MNIST, SVHN, CIFAR-10, ImageNet에서 BN 및 비 BN 모델을 PGD 공격(l_infty 및 l2)과 가우시안 노이즈 하에서 경험적으로 비교한다.
• CIFAR-10-C와 ImageNet 사전학습 모델을 사용하여 손상 유형 전반에 걸친 견고성을 평가한다.
• BN 견고성에 대한 배치 크기와 네트워크 깊이의 역할을 I(X;T) 및 I(T;Y) 같은 상호정보 근사를 포함해 조사한다.
• BN을 L2 가중치 감소로 대체하면 적대적 교란 및 노이즈에 대한 견고성을 회복할 수 있음을 보여준다.

실험 결과

연구 질문

• RQ1 배치 정규화가 본질적으로 적대적 교란 및 노이즈에 대한 견고성을 감소시키는가?
• RQ2 정상화된 정확도를 크게 손상시키지 않으면서 BN 대신 L2 가중치 감소를 사용하는 것이 견고성을 향상시킬 수 있는가?
• RQ3 배치 크기, 깊이, 정규화가 BN과 상호작용하여 적대적 취약성과 표현 정보에 어떤 영향을 미치는가?
• RQ4 관찰된 취약성이 입력 차원과 연결되어 있는가, 정규화를 통해 분리할 수 있는가?
• RQ5 BN에 영향을 받는 모델이 일반적인 손상 벤치마크(CIFAR-10-C) 및 사전학습된 ImageNet 모델에서 적대적 교란 하에 어떻게 성능하는가?

주요 결과

• BN은 일부 데이터셋에서 깨끗한 정확도를 높이지만, 가산 노이즈 및 PGD 교란에 대한 견고성을 감소시킨다(예: CIFAR-10, SVHN, ImageNet).
• BN을 가중치 감소로 대체하면 적대적 취약성과 입력 차원 간의 관계를 무효화할 수 있어 적대적 및 노이즈 상황에서 견고성이 향상된다.
• CIFAR-10 및 CIFAR-10.1의 경우 BN은 비정규화된 모델에 비해 PGD 견고성에서 상당한 하락을 초래하며, 아키텍처에 따라 효과가 다르게 나타난다.
• CIFAR-10-C에서 BN은 일반적으로 테스트된 모델들에 대해 노이즈 유형 손상에 대한 평균 손상률을 증가시킨다.
• ImageNet 결과는 BN이 일부 노이즈 지표를 개선하지만 일관되게 PGD 견고성을 감소시키며, 적대적 교란에 대한 절대적 악화가 더 크다.
• 상호정보 분석은 BN이 표현을 압축하는 경향(I(X;T) 감소)을 보이며 이는 견고성 변화와 상관관계가 있고, 깊이가 BN로 인한 압축을 증폭한다는 것을 시사한다.
• L2 가중치 감소 도입은 BN으로 인해 초래된 입력 차원과의 취약성 관계 손실을 보상함으로써 견고성을 회복시킬 수 있다.