[논문 리뷰] Consistency Regularization for Adversarial Robustness

Jihoon Tack, Sihyun Yu외 4명|arXiv (Cornell University)|2021. 03. 08.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

이 논문은 동일한 입력의 두 가지 다른 증강에 기반한 적대적 예제 간의 예측 유사성을 강제함으로써 적대적 로버스트니를 향상시키는 일致성 정규화 기법을 제안한다. 데이터 증강을 활용하고 공격 방향의 일致성을 강제함으로써 이 방법은 강력한 오버피팅을 크게 감소시키며, CIFAR-10에서 최대 6.74%p까지 정확도를 향상시킨다. 이는 새로운 적대적 공격에 대한 일반화 능력 향상에도 기여한다.

ABSTRACT

Adversarial training (AT) is currently one of the most successful methods to obtain the adversarial robustness of deep neural networks. However, the phenomenon of robust overfitting, i.e., the robustness starts to decrease significantly during AT, has been problematic, not only making practitioners consider a bag of tricks for a successful training, e.g., early stopping, but also incurring a significant generalization gap in the robustness. In this paper, we propose an effective regularization technique that prevents robust overfitting by optimizing an auxiliary `consistency' regularization loss during AT. Specifically, we discover that data augmentation is a quite effective tool to mitigate the overfitting in AT, and develop a regularization that forces the predictive distributions after attacking from two different augmentations of the same instance to be similar with each other. Our experimental results demonstrate that such a simple regularization technique brings significant improvements in the test robust accuracy of a wide range of AT methods. More remarkably, we also show that our method could significantly help the model to generalize its robustness against unseen adversaries, e.g., other types or larger perturbations compared to those used during training. Code is available at https://github.com/alinlab/consistency-adversarial.

연구 동기 및 목표

• 적대적 훈련 중 최적화 과정에도 불구하고 모델의 로버스트니가 떨어지는 로버스트 오버피팅 문제를 해결하기 위해.
• 훈련 세트와 테스트 세트 간의 적대적 로버스트니에 대한 일반화 갭을 줄이기 위해.
• 훈련 중에 볼 수 없었던 적대적 공격, 예를 들어 더 큰 편향이나 다른 공격 유형에 대한 로버스트니를 향상시키기 위해.
• 기존의 적대적 훈련 프레임워크와 호환되는 간단하고 즉각 적용 가능한 정규화 기법을 개발하기 위해.
• 데이터 증강이 일치성 정규화와 조합되었을 때 로버스트니를 위한 유용한 인덕티브 바이어스를 제공한다는 것을 입증하기 위해.

제안 방법

• 이 방법은 동일한 입력에 대해 두 개의 서로 다른 증강을 생성하기 위해 데이터 증강(특히 AutoAugment)을 적용한다.
• 각 증강된 입력에 대해 지정된 편향 예산을 가진 PGD 공격를 사용하여 적대적 예제를 생성한다.
• 두 적대적 예제에 대한 모델의 예측 분포 간의 KL 발산을 최소화하는 일치성 정규화 손실을 도입한다.
• 손실 함수는 동일한 샘플의 서로 다른 증강에 기반한 적대적 예제에 대해 모델가 유사한 예측을 내도록 유도한다.
• 이 정규화는 표준 적대적 훈련 손실과 함께 적용되며, 어떤 AT 방법과도 호환된다.
• 공격 방향이 클린 입력에 대해 가장 혼란스러운 클래스를 담고 있음을 보여주며, 이는 공격 방향의 일치성이 유의미한 정보를 담고 있음을 의미한다.

실험 결과

연구 질문

• RQ1 적대적으로 훼손된 증강 간의 일치성 정규화가 적대적 훈련에서의 로버스트 오버피팅을 줄일 수 있는가?
• RQ2 다른 증강에 대해 예측 일치성을 강제하면 새로운 적대적 공격에 대한 일반화 능력이 향상되는가?
• RQ3 일치성 정규화와 함께 데이터 증강이 로버스트 오버피팅을 얼마나 효과적으로 완화하는가?
• RQ4 일치성 정규화가 오염에 대한 로버스트니(예: CIFAR-10-C)에 어떤 영향을 미치는가?
• RQ5 제안된 방법은 아키텍처 변경 없이 다양한 AT 프레임워크에 효과적으로 적용될 수 있는가?

주요 결과

• 제안된 방법은 CIFAR-10에서 표준 적대적 훈련의 정확도를 PGD-100 공격(ε=8/255) 하에서 44.86%에서 56.38%로 향상시켰다.
• CIFAR-100에서 동일한 공격 설정 하에서 정확도는 29.74%에서 37.81%로 상승했다.
• CIFAR-10에서 평균 오염 오차(mCE)는 24.03%에서 22.06%로 감소하여 분포 이탈에 대한 로버스트니 향상을 보였다.
• 저자료 환경(훈련 데이터의 10%)에서 모델은 41.2%의 정확도를 기록했으며, AWP(34.7%)를 능가하며 데이터 효율성을 입증했다.
• 모델는 더 큰 편향이나 다른 위협 모델을 포함한 새로운 적대적 공격에 대해 일반화 능력 향상을 보였다.
• 잘못 분류된 적대적 예제의 77.45%가 가장 혼란스러운 클래스를 예측하여, 공격 방향이 의미 있는 '다크 지식'을 담고 있음을 검증했다.