[논문 리뷰] Error-Correcting Neural Network.

Yang Song, Qiyu Kang외 1명|arXiv (Cornell University)|2019. 11. 30.

Adversarial Robustness in Machine Learning참고 문헌 35인용 수 3

한 줄 요약

이 논문은 코드워드 간 해밍 거리와 분류기 분할 간 공유 정보 거리의 동시 최대화를 통해 적대적 예제에 대한 강건성을 향상시키는 오류 수정 신경망(ECNN)을 제안한다. 엔드 투 엔드 학습을 통해 ECNN은 이진 분류기의 다양성을 향상시키고, 깨끗한 데이터에서의 정확도를 유지하면서도 화이트박스 공격에 대해 최신 기술 수준의 방어 성능을 달성한다.

ABSTRACT

Though deep learning has been applied successfully in many scenarios, malicious inputs with human-imperceptible perturbations can make it vulnerable in real applications. This paper proposes an error-correcting neural network (ECNN) that combines a set of binary classifiers to combat adversarial examples in the multi class classification problem. To build an ECNN, we propose to design a code matrix so that the minimum Hamming distance between any two rows (i.e., two codewords) and the minimum shared information distance between any two columns (i.e., two partitions of class labels) are simultaneously maximized. Maximizing row distances can increase the system fault tolerance while maximizing column distances helps increase the diversity between binary classifiers. We propose an end-to-end training method for our ECNN, which allows further improvement of the diversity between binary classifiers. The end-to-end training renders our proposed ECNN different from the traditional error-correcting output code (ECOC) based methods that train binary classifiers independently. We empirically demonstrate that our proposed ECNN is effective against the state-of-the-art white-box attacks while maintaining good classification accuracy on normal examples.

연구 동기 및 목표

• 인간이 인지하지 못하는 변형이 가해진 적대적 예제에 취약한 딥 뉴럴 네트워크의 문제를 해결하기 위해.
• 이진 분류기 간의 내성과 다양성을 향상시킴으로써 다중 클래스 분류에서의 강건성을 향상시키기 위해.
• 모든 코드워드 간 최소 해밍 거리와 모든 분류기 분할 간 최소 공유 정보 거리를 동시에 최대화하는 코드 행렬을 설계하기 위해.
• 기존의 전통적 ECOC 방법과 달리, 코드 행렬과 분류기 파라미터를 동시에 최적화하는 엔드 투 엔드 학습 프레임워크를 개발하기 위해.
• 정상 입력에 대해 높은 분류 정확도를 유지하면서도 최신 기술 수준의 화이트박스 적대적 공격에 대해 강력한 방어 성능을 달성하기 위해.

제안 방법

• 각 행이 코드워드(클래스 레이블 할당)를 나타내고, 각 열이 클래스 공간을 이진 분류기로 분할하는 코드 행렬을 설계한다.
• 모든 두 코드워드 간 최소 해밍 거리를 최대화하여 고장 내성을 향상시키기 위해 코드 행렬을 최적화한다.
• 동시에 모든 두 열 간 최소 공유 정보 거리를 최대화하여 이진 분류기 간의 다양성을 증가시킨다.
• 역전파를 사용하여 코드 행렬과 이진 분류기의 파라미터를 동시에 학습하는 엔드 투 엔드 학습 절차를 도입한다.
• 모든 이진 분류기의 예측을 융합하여 예측 벡터와 가장 가까운 해밍 거리를 가지는 코드워드를 선택함으로써 입력을 분류한다.
• 코드 행렬의 오류 수정 능력을 활용하여 적대적 변형으로 인한 잘못된 예측을 수정한다.

실험 결과

연구 질문

• RQ1 코드워드 간 해밍 거리와 분류기 분할 간 공유 정보 거리를 동시에 최적화하면 다중 클래스 분류에서 적대적 강건성이 향상되는가?
• RQ2 기존 ECOC에서 독립적으로 학습된 이진 분류기들과 비교해, ECNN 아키텍처의 엔드 투 엔드 학습이 더 높은 다양성과 강건성을 제공하는가?
• RQ3 제안된 ECNN은 정상 예제 성능을 떨어뜨리지 않고 최신 기술 수준의 화이트박스 적대적 공격에 얼마나 잘 대응할 수 있는가?
• RQ4 해밍 거리에 의한 고장 내성과 공유 정보 거리에 의한 분류기 다양성 간의 트레이드오프가 전체 강건성에 어떤 영향을 미치는가?
• RQ5 ECNN은 표준 적대적 예외가 아닌 입력에 대해 높은 정확도를 유지하면서도 적대적 예외에 대한 강건성을 크게 향상시킬 수 있는가?

주요 결과

• 제안된 ECNN은 기존의 ECOC 기반 및 비-ECOC 방법들을 능가하는 최신 기술 수준의 화이트박스 적대적 공격에 대한 방어 성능을 달성한다.
• 엔드 투 엔드 학습은 기존의 독립적 학습 방식에 비해 이진 분류기 간의 다양성을 크게 향상시켜 오류 수정 능력을 강화한다.
• 해밍 거리와 공유 정보 거리의 동시 최적화는 더 높은 고장 내성과 적대적 변형 하에서도 더 나은 일반화 능력을 이끌어낸다.
• ECNN은 깨끗하고 적대적이지 않은 예제에 대해 높은 분류 정확도를 유지하여 강건성과 일반 정확도 사이의 유리한 트레이드오프를 보여준다.
• 실험 결과는 코드 행렬의 행과 열 거리 모두를 최대화하는 것이 성능을 희생시키지 않고 강건성을 확보하는 데 핵심적임을 확인한다.
• ECNN 프레임워크는 내재된 오류 수정 구조 덕분에 적대적 입력으로 인한 잘못된 예측을 효과적으로 수정하는 데 유용하다.