[논문 리뷰] Improving Adversarial Robustness Through Progressive Hardening

Chawin Sitawarin, Supriyo Chakraborty외 1명|arXiv (Cornell University)|2020. 03. 18.

Adversarial Robustness in Machine Learning참고 문헌 28인용 수 29

한 줄 요약

이 논문은 청소년 학습 원칙에 영감을 받은 Adversarial Training with Early Stopping (ATES)을 제안한다. 이는 정해진 어려움 수준에 도달했을 때 조기 정지 전략을 적용하여 공격 예제 생성을 동적으로 제어함으로써, 정상 정확도를 유지하면서 적대적 내성성을 향상시키는 방법이다. ATES는 표준 적대적 훈련과 TRADES에 비해 정상 정확도와 내성성 간의 더 우수한 트레이드오프를 달성한다.

ABSTRACT

Adversarial training (AT) has become a popular choice for training robust networks. However, it tends to sacrifice clean accuracy heavily in favor of robustness, and with a large perturbation, it can cause models to learn a trivial solution, always predicting the same class. To address the above concerns, we propose Adversarial Training with Early Stopping (ATES), guided by principles from curriculum learning that emphasizes on starting easy and gradually ramping up on the of training. ATES is derived from our formulation for curriculum learning in the adversarial setting which introduces an additional curriculum constraint to the normal adversarial loss. To satisfy this constraint, we apply early stopping on the adversarial example generation step when a specified level of difficulty is reached. ATES stabilizes network training even for a large perturbation norm and allows the network to operate at a better clean accuracy versus robustness trade-off curve compared to AT. This leads to a significant improvement in both clean accuracy and robustness compared to AT, TRADES, and the other baselines.

연구 동기 및 목표

• 큰 변형 노름에서 흔히 관찰되는 정상 정확도 저하 문제를 해결하기 위해.
• 큰 변형을 사용할 경우 항상 같은 클래스를 예측하는 등의 비현실적인 해결책을 학습하는 것을 방지하기 위해.
• 어려움을 점진적으로 증가시키는 청소년 학습 전략을 도입하여 큰 변형 노름에서도 훈련을 안정화하기 위해.
• 표준 AT 및 TRADES에 비해 정상 정확도와 내성성 간의 더 나은 트레이드오프를 달성하기 위해.

제안 방법

• ATES는 적대적 훈련 목표에 청소년 학습 원칙을 반영한 제약 조건을 도입하여 훈련 중 공격 예제의 어려움 수준을 제어한다.
• 지정된 어려움 수준에 도달했을 때 공격 예제 생성 과정에서 조기 정지를 적용한다.
• 이 조기 정지 메커니즘은 훈련을 불안정하게 만들고 정상 정확도를 떨어뜨릴 수 있는 지나치게 어려운 공격 예제에 대한 과도한 최적화를 방지한다.
• 청소년 학습 원칙을 반영한 제약 조건은 훈련이 더 쉬운 공격 예제에서 시작하여 점차 난이도를 높이는 방식으로 진행되도록 보장한다.
• 최적화 과정에서 과도한 변형을 방지함으로써 내성성과 정상 정확도 사이의 균형을 유지한다.
• ATES는 공격 예제 생성 단계를 제한하는 청소년 제약 조건을 포함한 제약 최적화 문제로 수식화된다.

실험 결과

연구 질문

• RQ1 공격 예제 생성 과정에서 조기 정지를 적용하면 적대적 훈련에서 정상 정확도와 내성성 간의 트레이드오프를 향상시킬 수 있는가?
• RQ2 큰 변형에서 공격 예제 생성에 청소년 학습 접근법을 적용하면 비현실적인 해결책으로 수렴하는 것을 방지할 수 있는가?
• RQ3 다양한 변형 노름에서 ATES는 표준 적대적 훈련과 TRADES에 비해 정상 정확도와 내성성 측면에서 어떻게 비교되는가?
• RQ4 난이도 제어된 예제 생성을 통해 적대적 훈련을 안정화하면 다양한 데이터셋과 아키텍처에서 일관된 성능 향상이 달성될 수 있는가?

주요 결과

• ATES는 표준 적대적 훈련(AT)과 TRADES에 비해 정상 정확도와 내성성 간의 더 나은 트레이드오프를 달성한다.
• 이 방법은 큰 변형 노름에서도 훈련을 안정화시키며, 비현실적인 예측을 학습하는 것을 방지한다.
• ATEs는 평가된 벤치마크 전반에서 AT 및 TRADES에 비해 정상 정확도와 내성성을 모두 크게 향상시킨다.
• 정해진 어려움 수준에서 조기 정지를 적용함으로써 어려운 공격 예제에 대한 과적합을 방지하고, 정상 데이터에 대한 일반화 능력을 유지한다.