[논문 리뷰] Building Robust Ensembles via Margin Boosting

Dinghuai Zhang, Hongyang Zhang외 4명|arXiv (Cornell University)|2022. 06. 07.

Adversarial Robustness in Machine Learning인용 수 7

한 줄 요약

이 논문은 러닝러와 적대자 간의 두 명의 플레이어가 참여하는 0-합 게임을 통해 최소 분류 마진을 최대화함으로써 강건한 신경망 앙상블을 훈련하는 마진 부스팅 프레임워크인 MRBoost를 제안한다. 이 방법은 기존의 앙상블 기법들과 대규모 엔드 투 엔드 모델보다 벤치마크 데이터셋에서 뛰어난 성능을 보이며, 주요 부산물로는 상태 최적의 훈련 방법에 표준 크로스 엔트로피를 대체할 수 있는 마진 최대화 크로스 엔트로피(MCE) 손실 함수를 제공한다. 이 손실 함수는 적대적 공격에 대한 강건성을 향상시킨다.

ABSTRACT

In the context of adversarial robustness, a single model does not usually have enough power to defend against all possible adversarial attacks, and as a result, has sub-optimal robustness. Consequently, an emerging line of work has focused on learning an ensemble of neural networks to defend against adversarial attacks. In this work, we take a principled approach towards building robust ensembles. We view this problem from the perspective of margin-boosting and develop an algorithm for learning an ensemble with maximum margin. Through extensive empirical evaluation on benchmark datasets, we show that our algorithm not only outperforms existing ensembling techniques, but also large models trained in an end-to-end fashion. An important byproduct of our work is a margin-maximizing cross-entropy (MCE) loss, which is a better alternative to the standard cross-entropy (CE) loss. Empirically, we show that replacing the CE loss in state-of-the-art adversarial training techniques with our MCE loss leads to significant performance improvement.

연구 동기 및 목표

• 단일 신경망의 최적화되지 않은 적대적 강건성을 해결하기 위해 체계적인 앙상블 학습 프레임워크를 개발하는 것.
• 기존의 앙상블 기법들이 기반 분류기의 훈련 및 추론 행동 간 불일치로 인해 적응형 공격에서 종종 실패하는 한계를 극복하는 것.
• 러닝러와 적대자 간의 두 명의 플레이어가 참여하는 0-합 게임을 통해 앙상블 강건성을 최대 마진 문제로 공식화하는 것.
• 실용적인 확장성을 확보하면서 마진 부스팅 게임을 해결할 수 있는 효율적인 알고리즘(MRBoost.NN)을 개발하는 것.
• 적대적 훈련에서 강건성을 향상시키는 새로운 손실 함수인 마진 최대화 크로스 엔트로피(MCE)를 유도하는 것.

제안 방법

• 러닝러가 앙상블 가중치를 선택하고, 적대자가 최악의 경우의 변형을 생성하는 두 명의 플레이어가 참여하는 0-합 게임을 사용하여 앙상블 강건성을 최대 마진 문제로 공식화한다.
• 모든 입력과 클래스에 대해 최소 마진을 최대화하는 최적화 목표를 도출하여, 최악의 경우의 적대적 예제에 대한 강건성을 보장한다.
• MRBoost.NN를 제안하며, 이는 계산적으로 효율적인 알고리즘으로, 투영된 경사 하강법을 통해 앙상블 가중치 업데이트와 적대적 예제 생성을 번갈아 수행한다.
• MCE 손실을 도입하며, 이는 적대적 예제에서 낮은 신뢰도 예측에 대해 벌점을 주어 더 큰 마진을 유도하는 수정된 크로스 엔트로피 손실이다.
• 각 새로운 기본 분류기를 이전 것에서 초기화하는 지속적인 가중치 초기화 기법을 사용하여 훈련 안정성과 강건성을 향상시킨다.
• 훈련 중에는 로짓 수준의 앙상블 집계를, 공격 평가 중에는 확률 수준의 집계를 사용하여 실제 추론 환경과 일치시킨다.

실험 결과

연구 질문

• RQ1 체계적인 마진 부스팅 프레임워크가 기존의 앙상블 기법들을 초월하여 신경망 앙상블의 강건성을 향상시킬 수 있는가?
• RQ2 표준 앙상블 및 엔드 투 엔드 훈련에 비해 최소 분류 마진을 최대화하는 것이 더 강력한 적대적 강건성을 이끌 수 있는가?
• RQ3 마진 부스팅 프레임워크에서 파생된 새로운 손실 함수가 최신의 적대적 훈련 방법의 강건성을 향상시킬 수 있는가?
• RQ4 기존의 앙상블 방어 기법(예: Pinot 등, 2020)은 왜 적응형 공격에서 실패하는가? 그리고 이러한 문제를 어떻게 방지할 수 있는가?
• RQ5 훈련과 추론 행동을 일치시킴으로써 다양한 적대적 공격에 대해 일관된 강건성을 보장하는 훈련 전략이 존재하는가?

주요 결과

• MRBoost.NN는 CIFAR-10에서 기존의 앙상블 기법들과 대규모 엔드 투 엔드 모델을 모두 능가하는 최고 수준의 강건한 정확도를 달성한다.
• 표준 적대적 훈련에 대체하여 제안된 MCE 손실을 사용할 경우 성능 향상이 두드러지게 나타나며, 일부 설정에서는 강건한 정확도가 최대 10% 향상된다.
• Pinot 등(2020)의 방어 기법은 훈련 시 로짓 수준 집계와 추론 시 확률 수준 집계 간 불일치를 악용하는 적응형 공격에 의해 우회되며, 강건한 정확도가 60.72%에서 37.37%로 감소한다.
• 앙상블 훈련 중 지속적인 가중치 초기화 기법은 학습 과정을 안정화시키고 일반화 능력을 향상시켜 더 강건한 모델을 도출한다.
• 두 명의 플레이어가 참여하는 0-합 게임 공식화는 기반 분류기에 대한 가장 약한 가정 조건 하에서도 최적의 앙상블을 보장하며, 이론적으로 최적성을 입증한다.
• 실험 결과는 최대 마진 앙상블 프레임워크가 효과적일 뿐 아니라 다양한 데이터셋과 모델 아키텍처에 걸쳐 일반화 가능함을 보여준다.