[논문 리뷰] Fairness Increases Adversarial Vulnerability

Cuong Tran, Kèyù Zhü외 2명|arXiv (Cornell University)|2022. 11. 21.

Adversarial Robustness in Machine Learning인용 수 5

한 줄 요약

이 논문은 딥러닝 모델에서 공정성을 강제할 경우 오히려 적대적 공격에 대한 취약성이 증가할 수 있음을 보여주며, 결정 경계까지의 거리가 공정성과 강건성 간의 연결 고리로 작용하는 핵심 요소임을 규명한다. 다양한 비전 작업 및 아키텍처(예: VGG-13, ResNet-50)에서 공정성, 정확도, 강건성 간의 트레이드오프를 향상시키는 유한한 램프 손실 함수를 제안한다.

ABSTRACT

The remarkable performance of deep learning models and their applications in consequential domains (e.g., facial recognition) introduces important challenges at the intersection of equity and security. Fairness and robustness are two desired notions often required in learning models. Fairness ensures that models do not disproportionately harm (or benefit) some groups over others, while robustness measures the models' resilience against small input perturbations. This paper shows the existence of a dichotomy between fairness and robustness, and analyzes when achieving fairness decreases the model robustness to adversarial samples. The reported analysis sheds light on the factors causing such contrasting behavior, suggesting that distance to the decision boundary across groups as a key explainer for this behavior. Extensive experiments on non-linear models and different architectures validate the theoretical findings in multiple vision domains. Finally, the paper proposes a simple, yet effective, solution to construct models achieving good tradeoffs between fairness and robustness.

연구 동기 및 목표

• 고위험 응용 분야에서 딥러닝 모델의 공정성과 강건성 간의 트레이드오프를 조사하기 위해.
• 공정성 제약이 적대적 예제에 대한 모델 강건성을 감소시키는 이유를 이해하기 위해.
• 특히 결정 경계까지의 거리와 같은 기하학적 구조적 특성이 공정성-강건성 이분화를 이끄는 근본 원인임을 규명하기 위해.
• 모델 훈련 시 공정성, 정확도, 강건성을 동시에 향상시키는 실용적 해결책을 제안하기 위해.
• 다양한 아키텍처(VGG-13, ResNet-50)와 데이터셋(CIFAR-10, UTKFace, FMNIST)에서 여러 종류의 적대적 공격에 대해 결과를 검증하기 위해.

제안 방법

• 저자들은 표준 크로스 엔트로피 손실을 수정하여 결정 경계 근처의 모델 행동을 더 잘 제어할 수 있도록 하는 유한한 램프 손실 함수를 도입한다.
• 이론적 및 실험적 분석을 통해 공정성, 강건성 및 결정 경계까지의 거리 간의 관계를 분석한다.
• 다양한 비전 작업에서 ℓ∞ 및 ℓ2 노름을 사용한 표준 적대적 공격(RFGSM 및 PGD)을 적용하여 실험을 수행한다.
• 공정성 정규화 파rameter(λ)를 다양하게 설정한 상태에서 표준 크로스 엔트로피 손실과 제안된 유한한 램프 손실로 훈련된 모델을 비교한다.
• 강건성은 적대적 편향에 대한 경계 오차를 통해 평가하며, 공정성은 보호된 집단 간 오차율 분포 위반 정도로 측정한다.
• 다양한 아키텍처(VGG-13, ResNet-50)와 데이터셋(CIFAR-10, UTKFace, FMNIST)에서 방법을 검증하여 트레이드오프 성능 향상이 일관되게 관찰됨을 입증한다.

실험 결과

연구 질문

• RQ1 딥러닝 모델에서 공정성을 강제하면 적대적 공격에 대한 취약성이 증가하는가?
• RQ2 관찰된 공정성과 강건성 간의 트레이드오프를 설명하는 기초적인 구조적 또는 기하학적 특성은 무엇인가?
• RQ3 결정 경계까지의 거리가 공정 모델에서의 적대적 취약성 예측에 신뢰성 있게 사용될 수 있는가?
• RQ4 공정성, 강건성, 정확도를 동시에 향상시킬 수 있는 훈련 목표 함수가 존재하는가?
• RQ5 다양한 아키텍처와 데이터셋에서 다른 손실 함수(예: 크로스 엔트로피 대비 유한한 램프 손실)가 공정성-강건성-정확도 트레이드오프에 어떻게 영향을 미치는가?

주요 결과

• 공정 모델은 비공정 모델에 비해 특히 ℓ∞ 및 ℓ2 적대적 공격 하에서 훨씬 더 높은 적대적 취약성을 보인다.
• 결정 경계까지의 거리가 핵심 설명 요소로 규명되었으며, 공정 모델은 일반적으로 결정 경계까지의 마진이 작아져 적대적 편향에 더 취약하다.
• 유한한 램프 손실로 훈련된 모델는 표준 크로스 엔트로피 손실 및 기타 공정성 정규화 기반 베이스라인에 비해 공정성, 정확도, 강건성 간의 트레이드오프를 더 우수하게 달성한다.
• 제안된 방법은 모든 테스트된 데이터셋(CIFAR-10, UTKFace, FMNIST)과 아키텍처(VGG-13, ResNet-50)에서 적대적 경계 오차를 감소시키며, 특히 PGD 및 RFGSM 공격에서 뚜렷한 개선 효과를 보인다.
• 공정성 정규화 수준(λ)이 다양할 때에도 공정성-강건성 트레이드오프가 일관되게 유지되며, 유한한 램프 손실은 고공정성 제약 조건에서도 강건성을 유지한다.
• 실험 결과는 표준 크로스 엔트로피 손실로 훈련된 공정 모델이 비공정 모델에 비해 적대적 공격 하에서 더 높은 경계 오차를 보이며, 공정성과 강건성 간의 이분화가 실제로 존재함을 확인한다.