[논문 리뷰] Efficient Adversarial Training with Transferable Adversarial Examples

Haizhong Zheng, Ziqi Zhang외 3명|arXiv (Cornell University)|2019. 12. 27.

Adversarial Robustness in Machine Learning참고 문헌 41인용 수 9

한 줄 요약

이 논문은 이웃한 에포크의 모델 간 높은 전이 가능성(transferability)을 활용하여 훈련 에포크 간에 적대적 편향을 재사용하는 새로운 방법인 ATTA(Adversarial Training with Transferable Adversarial Examples)를 제안한다. 에포크 단위로 공격 강도를 누적시킴으로써 ATTA는 기존 PGD 기반 적대적 훈련과 유사하거나 더 뛰어난 강건성을 확보하면서도 CIFAR10에서 훈련 시간을 최대 14.1배까지 단축시키고, 적대적 정확도를 최대 7.2% 향상시킨다.

ABSTRACT

Adversarial training is an effective defense method to protect classification models against adversarial attacks. However, one limitation of this approach is that it can require orders of magnitude additional training time due to high cost of generating strong adversarial examples during training. In this paper, we first show that there is high transferability between models from neighboring epochs in the same training process, i.e., adversarial examples from one epoch continue to be adversarial in subsequent epochs. Leveraging this property, we propose a novel method, Adversarial Training with Transferable Adversarial Examples (ATTA), that can enhance the robustness of trained models and greatly improve the training efficiency by accumulating adversarial perturbations through epochs. Compared to state-of-the-art adversarial training methods, ATTA enhances adversarial accuracy by up to 7.2% on CIFAR10 and requires 12~14x less training time on MNIST and CIFAR10 datasets with comparable model robustness.

연구 동기 및 목표

• 적대적 훈련 중 강력한 적대적 예제를 생성하는 데 드는 높은 계산 비용을 해결하기 위해.
• 한 에포크에서 생성된 적대적 편향이 다음 에포크에서도 효과적으로 유지되는지 조사하기 위해.
• 에포크 간에 적대적 편향을 재사용하여 훈련 시간을 단축시키되 모델의 강건성은 손상시키지 않는 방법을 개발하기 위해.
• 반복 공격 기반 적대적 훈련 방법의 효율성과 효과를 향상시키기 위해.
• 이와 같은 방법이 ImageNet과 같은 대규모 데이터셋에서 실용적으로 적용 가능한지 보여주기 위해.

제안 방법

• 이 방법은 한 에포크에서 생성된 적대적 편향을 다음 에포크의 적대적 훈련에 재사용하며, 이웃한 에포크의 모델 간 높은 전이 가능성을 활용한다.
• 에포크당 한 번의 공격 반복만을 적용하여 적대적 예제를 생성하고, 이전 에포크의 편향을 시작점으로 사용한다.
• 분포 이동을 다루기 위해 연결 함수(connection function)를 사용하여 모델 업데이트 동안 편향이 효과적으로 유지되도록 보장한다.
• 기존의 적대적 훈련 프레임워크인 Madry의 방법(MAT)과 TRADES와 통합하여 핵심 아키텍처를 수정하지 않고도 향상시킬 수 있다.
• 역 데이터 증강(i.d.a.)을 적용하여 에포크 간 전이 가능성을 추가로 향상시킨다.
• 공격 손실 함수를 신중히 선택하였으며, 에포크 단위 재사용의 맥락에서 안정성과 전이 가능성을 고려할 때 식 3이 식 2보다 더 우수하다.

실험 결과

연구 질문

• RQ1 적대적 훈련 중 연속된 에포크에서 훈련된 모델 간에 높은 전이 가능성이 존재하는가?
• RQ2 한 에포크에서 생성된 적대적 편향이 다음 에포크에서 효과적으로 재사용되어 공격 반복 수를 줄일 수 있는가?
• RQ3 에포크 간 편향 재사용이 모델의 강건성 손상 없이 훈련 효율성을 향상시키는가?
• RQ4 공격 손실 함수의 선택이 에포크 단위 적대적 훈련에서 전이 가능성과 성능에 미치는 영향은 어떠한가?
• RQ5 제안된 방법은 계산 오버헤드를 최소화하면서 ImageNet과 같은 대규모 데이터셋으로도 확장 가능한가?

주요 결과

• CIFAR10에서 ATTA는 기존의 PGD 기반 적대적 훈련 대비 훈련 시간을 최대 14.1배 단축시키고, MNIST에서는 12.2배 단축시켰다.
• 에포크당 한 번의 공격 반복만을 사용하는 ATTA-1은 MNIST에서 5분 만에 96.31%의 적대적 정확도를 달성했고, MAT는 이와 비교해 65분이 소요되었다.
• CIFAR10에서 ATTA는 약 2시간 만에 MAT와 유사한 적대적 정확도를 확보했고, MAT는 이와 비교해 33시간 이상 소요되었다.
• CIFAR10에서 ATTA는 MAT 대비 최대 7.2% 높은 적대적 정확도를 확보하여 더 뛰어난 강건성을 입증했다.
• ImageNet에서는 단일 2080 Ti GPU를 사용해 97시간 내에 MAT와 유사한 강건성을 확보했으며, 확장성이 입증되었다.
• 역 데이터 증강은 전이 가능성을 향상시켜 분석 실험에서 약 6%의 강건성 향상을 이끌어냈다.