[논문 리뷰] Certified Robustness to Adversarial Word Substitutions

Robin Jia, Aditi Raghunathan외 2명|arXiv (Cornell University)|2019. 09. 03.

Adversarial Robustness in Machine Learning참고 문헌 26인용 수 16

한 줄 요약

이 논문은 NLP에서의 적대적 단어 치환에 대해 인증 가능하게 강건한 모델을 처음으로 제안하며, 인증 강건성 확보를 위해 간격 경로 전파(Interval Bound Propagation, IBP)를 사용한다. 모든 단어 치환 변형에 대한 최악의 손실 상한을 최소화하여, IMDB와 SNLI에서 각각 75%의 적대적 정확도를 달성한다. 이는 표준 훈련(8%)과 데이터 증강(35%)보다 뚜렷하게 뛰어나다.

ABSTRACT

State-of-the-art NLP models can often be fooled by adversaries that apply seemingly innocuous label-preserving transformations (e.g., paraphrasing) to input text. The number of possible transformations scales exponentially with text length, so data augmentation cannot cover all transformations of an input. This paper considers one exponentially large family of label-preserving transformations, in which every word in the input can be replaced with a similar word. We train the first models that are provably robust to all word substitutions in this family. Our training procedure uses Interval Bound Propagation (IBP) to minimize an upper bound on the worst-case loss that any combination of word substitutions can induce. To evaluate models' robustness to these transformations, we measure accuracy on adversarially chosen word substitutions applied to test examples. Our IBP-trained models attain $75\%$ adversarial accuracy on both sentiment analysis on IMDB and natural language inference on SNLI. In comparison, on IMDB, models trained normally and ones trained with data augmentation achieve adversarial accuracy of only $8\%$ and $35\%$, respectively.

연구 동기 및 목표

• 표현의 의미 변화가 미미함에도 불구하고 성능을 급격히 떨어뜨릴 수 있는 레이블 유지형 단어 치환에 대한 NLP 모델의 취약성을 해결하기 위해.
• 모든 가능한 단어 치환 변형의 지수적 복잡도로 인해 전수 검색이나 데이터 증강이 비현실적이 되는 문제를 해결하기 위해.
• 해결책 기반 공격이나 제한된 데이터 증강에 의존하지 않고, 모든 치환에 대해 강건성을 보장하는 훈련 방법을 개발하기 위해.
• LSTM 및 주목적 메커니즘과 같은 이산적이고 연속적이지 않은 NLP 레이어에 대해 간격 경로 전파(IBP)를 확장하여 인증 가능한 강건성 경계를 계산하기 위해.
• 인증 가능한 강건한 훈련이 실제 NLP 작업에서 최악의 경우 변형에도 불구하고 높은 적대적 정확도를 보이는 모델을 도출할 수 있음을 입증하기 위해.

제안 방법

• 모든 단어 치환 조합에 의해 유도되는 최악의 손실에 대한 다루기 쉬운 상한을 계산하기 위해 간격 경로 전파(IBP)를 사용하기 위해.
• LSTM 및 자기 주목적 메커니즘에 확장하기 위해 곱셈 및 소프트맥스 레이어와 같은 이산적 연산에 대한 새로운 간격 경로 공식을 유도하기 위해.
• 연속적 변형이 아닌 이산적 변형 집합(단어 치환)을 다룰 수 있도록 IBP를 조정하여 NLP 응용에 필수적인 요소로 만들기 위해.
• IBP를 통한 최악의 손실 상한을 최소화하여 훈련함으로써, 기울기 기반 적대적 훈련에 의존하지 않고도 인증 가능한 강건한 일반화를 달성하기 위해.
• 감성 분석(IMDB)과 자연어 추론(SNLI) 분야에서 다양한 아키텍처(단어 집합, CNN, LSTM, 주목적)에 이 방법을 적용하기 위해.

실험 결과

연구 질문

• RQ1 모든 가능한 단어 치환 변형에 대해 NLP에서 공식적이고 인증 가능한 강건성 보장을 제공할 수 있는가?
• RQ2 다루기 쉬운 최적화를 통해 지수적 크기의 레이블 유지형 단어 치환 집합에 대해 강건한 모델을 훈련하는 것이 가능한가?
• RQ3 IBP를 통한 인증 가능한 강건한 훈련은 표준 훈련 및 데이터 증강에 비해 적대적 정확도 측면에서 어떻게 비교되는가?
• RQ4 IBP는 LSTMs 및 주목적 메커니즘과 같은 이산적이고 미분 불가능한 NLP 레이어에 효과적으로 확장될 수 있는가?
• RQ5 이러한 인증 훈련 방식을 통해 IMDB 및 SNLI와 같은 실제 NLP 벤치마크에서 얼마나 높은 수준의 강건성을 달성할 수 있는가?

주요 결과

• 제안된 IBP 기반의 인증 가능한 강건한 훈련은 IMDB 감성 분석 데이터셋에서 표준 훈련의 8%에 비해 75%의 적대적 정확도를 달성한다.
• SNLI 자연어 추론 벤치마크에서 이 방법은 표준 훈련(41%)과 데이터 증강(71%)보다 뚜렷하게 높은 75%의 적대적 정확도를 달성한다.
• 데이터 증강은 IMDB에서 35%, SNLI에서 71%의 강건성을 향상시키지만 여전히 IBP 훈련이 제공하는 인증 강건성에 못 미친다.
• 이 방법은 LSTMs 및 주목적 메커니즘과 같은 이산적 NLP 레이어에 IBP를 성공적으로 확장하여 이러한 아키텍처에서 강건성 인증이 가능하게 했다.
• 정의된 집합 내 모든 단어 치환에 대해 모델은 공식적으로 강건하며, 최악의 손실 상한에 대한 IBP 상한을 근거로 한 보장을 받는다.
• 이 접근법은 인증 가능한 강건성이 큰 이산적 변형 공간에서도 실현 가능하다는 것을 입증하며, 신뢰할 수 있는 NLP 시스템을 향한 중요한 도약을 이룬다.