[논문 리뷰] Fixing Data Augmentation to Improve Adversarial Robustness

Sylvestre-Alvise Rebuffi, Sven Gowal외 4명|arXiv (Cornell University)|2021. 03. 02.

Adversarial Robustness in Machine Learning참고 문헌 72인용 수 104

한 줄 요약

이 논문은 휴리스틱 기반 증강과 데이터 기반 증강을 모델 가중치 평균화와 결합하면 외부 데이터 없이 CIFAR-10에서 대적 강건성을 크게 향상시키고, l-infinity 8/255에 대해 64.20%의 강건 정확도와 l2 128/255에 대해 80.38%의 강건 정확도를 달성한다.

ABSTRACT

Adversarial training suffers from robust overfitting, a phenomenon where the robust test accuracy starts to decrease during training. In this paper, we focus on both heuristics-driven and data-driven augmentations as a means to reduce robust overfitting. First, we demonstrate that, contrary to previous findings, when combined with model weight averaging, data augmentation can significantly boost robust accuracy. Second, we explore how state-of-the-art generative models can be leveraged to artificially increase the size of the training set and further improve adversarial robustness. Finally, we evaluate our approach on CIFAR-10 against $\ell_\infty$ and $\ell_2$ norm-bounded perturbations of size $ε= 8/255$ and $ε= 128/255$, respectively. We show large absolute improvements of +7.06% and +5.88% in robust accuracy compared to previous state-of-the-art methods. In particular, against $\ell_\infty$ norm-bounded perturbations of size $ε= 8/255$, our model reaches 64.20% robust accuracy without using any external data, beating most prior works that use external data.

연구 동기 및 목표

• Ad버 Robust overfitting in adversarial training and the role of model weight averaging (WA).
• Assess whether heuristics-driven augmentations (e.g., MixUp, CutMix, Cutout) can improve robustness when combined with WA.
• Evaluate data-driven augmentations using generative models to enlarge the effective training set without external data.
• Explore whether combining data-driven and heuristics-driven augmentations yields additive robustness gains.

제안 방법

• TRADES를 CIFAR-10에 대해 adversarial training으로 10 PGD 스텝 사용.
• WA와 함께 휴리스틱 기반 증강(MixUp, Cutout, CutMix, RICAP)을 적용하고 패딩/자르기 baselines와 비교.
• 원본 데이터에 대해서만 학습된 DDPM, VDVAE, BigGAN 등 생성 모델의 데이터 기반 증강을 도입.
• 밴치 검증 세트에서 강건성을 극대화하도록 배치당 원본-생성 데이터 비율 조정.
• AutoAttack 및 MultiTargeted에 대해 강건성 평가, l-infinity(ε=8/255) 및 l2(ε=128/255)에서 강건 정확도 보고.
• DDPM이 특히 테스트 분포에 가장 근접한 샘플을 생성하는 방식과 CutMix와의 결합이 결과를 어떻게 개선하는지 분석.

실험 결과

연구 질문

• RQ1 WA가 robust overfitting이 통제되었거나 부재일 때 강건성을 향상시킬 수 있는가?
• RQ2 WA와 결합된 경우 MixUp, CutMix, Cutout과 같은 휴리스틱 기반 증강이 강건 정확도를 향상시키는가?
• RQ3 생성 모델로부터의 데이터 기반 증강이 외부 데이터 없이 대적 강건성을 향상시키는가, 어떤 모델이 가장 효과적인가?
• RQ4 휴리스틱 기반 증강과 데이터 기반 증강은 보완적인가, 그리고 이들의 결합이 어느 한 쪽보다 더 높은 강건 정확도를 낳는가?

주요 결과

• WA가 있는 데이터 증강은 강건 정확도 향상을 가져오며, 패딩-자르기를 넘어선 증강이 효과가 없다는 일부 선행 주장에 모순을 제시한다.
• WA와 함께하는 CutMix는 CIFAR-10에 대해 l-infinity 8/255에서 60.07%의 강건 정확도를 달성하여 같은 regime에서 MixUp이나 Cutout보다 높다.
• DDPM으로 생성된 데이터(원본 데이터만으로 학습)도 강건성을 크게 향상시켜 외부 데이터 없이도 l-infinity 8/255에서 63.58%의 강건 정확도를 달성.
• CutMix와 DDPM 생성 데이터를 결합하면 외부 데이터 없이 CIFAR-10에 대해 l-infinity 8/255에서 64.20%의 새로운 최첨단 강건 정확도와 l2 128/255에서 80.38%의 강건 정확도를 달성한다.
• 외부 데이터(80M-티의 500k 이미지)가 있으면 강건성이 더 향상된다(예: 대형 모델의 경우 l-infinity에서 66.56%).
• DDPM으로 모델링된 생성 데이터는 외부 데이터 없이도 강건성에 기여하는 데 있어 다른 생성 데이터 소스보다 더 우수할 수 있다.