[논문 리뷰] Improving Fast Adversarial Training with Prior-Guided Knowledge

Xiaojun Jia, Yong Zhang외 5명|arXiv (Cornell University)|2023. 04. 01.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

이 논문은 빠른 적대적 훈련 방법인 FGSM-PGK를 제안하며, 이는 이전 훈련 단계에서 확보한 고품질의 적대적 편향과 모델 가중치를 활용하여 치명적인 과적합을 방지한다. 이전 지식 기반 초기화와 정규화를 통해 적대적 예제의 품질을 향상시킴으로써, 네 가지 데이터셋에서 추가 훈련 비용을 최소화하면서 최신 기술 수준의 강건성을 달성한다.

ABSTRACT

Fast adversarial training (FAT) is an efficient method to improve robustness. However, the original FAT suffers from catastrophic overfitting, which dramatically and suddenly reduces robustness after a few training epochs. Although various FAT variants have been proposed to prevent overfitting, they require high training costs. In this paper, we investigate the relationship between adversarial example quality and catastrophic overfitting by comparing the training processes of standard adversarial training and FAT. We find that catastrophic overfitting occurs when the attack success rate of adversarial examples becomes worse. Based on this observation, we propose a positive prior-guided adversarial initialization to prevent overfitting by improving adversarial example quality without extra training costs. This initialization is generated by using high-quality adversarial perturbations from the historical training process. We provide theoretical analysis for the proposed initialization and propose a prior-guided regularization method that boosts the smoothness of the loss function. Additionally, we design a prior-guided ensemble FAT method that averages the different model weights of historical models using different decay rates. Our proposed method, called FGSM-PGK, assembles the prior-guided knowledge, i.e., the prior-guided initialization and model weights, acquired during the historical training process. Evaluations of four datasets demonstrate the superiority of the proposed method.

연구 동기 및 목표

• 빠른 적대적 훈련(FAT)에서 치명적인 과적합의 근본 원인을 규명하고, 이가 적대적 예제의 품질과 어떤 관련이 있는지 밝히는 것.
• 특히 다단계 공격을 사용하는 표준 적대적 훈련과 비교할 때, 강건성을 유지하거나 향상시키면서도 훈련 비용을 줄이는 것.
• 추가적인 순방향 전파 없이도 이전 훈련의 지식—예를 들어 적대적 편향과 모델 가중치—을 활용하는 방법을 개발하는 것.
• 특히 강력한 ℓ∞ 공격에 대해 다양한 공격 강도와 평가 설정에서도 강건성을 확보하는 것.
• 이론적이고 실험적으로, 개선된 적대적 예제 품질이 더 부드러운 손실 곡면과 더 나은 일반화로 이어진다는 것을 검증하는 것.

제안 방법

• 이전 훈련 단계에서 추출한 고품질의 적대적 편향을 사용해 빠른 훈련에서의 초기 적대적 예제를 향상시키는 이전 지식 기반 초기화를 제안한다.
• 이전 편향과 적대적 편향을 조합하여 손실 함수를 부드럽게 하고, 두 유형의 편향에 대한 강건성을 향상시키는 이전 지식 기반 정규화 방법을 도입한다.
• 다양한 감쇠 비율을 사용해 이전 체크포인트의 모델 가중치를 동적으로 평균화하는 이전 지식 기반 앙상블 방법을 설계하여 일반화를 향상시킨다.
• 내부 최대화 단계에서 단일 단계의 FGSM 공격를 사용하지만, 성능 붕괴를 방지하기 위해 개선된 초기화와 정규화를 적용한 최소-최대 최적화 프레임워크를 활용한다.
• 세 가지 구성 요소—이전 지식 기반 초기화, 이전 지식 기반 정규화, 이전 지식 기반 가중치 평균화—를 통합하여 FGSM-PGK 프레임워크를 구성한다.
• 이론적 분석을 통해 제안된 초기화가 훈련 중에 적대적 강건성을 유지하는 데 효과적이라는 것을 뒷받침한다.

실험 결과

연구 질문

• RQ1 왜 빠른 적대적 훈련에서 치명적인 과적합이 발생하는가, 그리고 이는 적대적 예제의 품질과 관련이 있는가?
• RQ2 이전 훈련 데이터를 활용해 훈련 비용을 늘리지 않고도 적대적 예제의 품질을 향상시킬 수 있는가?
• RQ3 표준 FGSM-AT과 비교해 이전 지식 기반 초기화가 시간이 지남에 따라 강건성 저하를 방지하는 데 얼마나 효과적인가?
• RQ4 이전 지식 기반 지식(초기화, 정규화, 모델 가중치)을 병합하면 개별 구성 요소를 사용할 때보다 더 나은 강건성을 달성하는가?
• RQ5 제안된 방법은 다양한 ℓ∞ 공격 강도와 다양한 데이터셋에서 어떻게 성능을 발휘하는가?

주요 결과

• FGSM-PGK는 CIFAR-10, SVHN, Tiny ImageNet, ImageNet-100에서 강력한 ℓ∞ 공격(예: 14/255) 조건에서도 치명적인 과적합을 방지하지만, 이전의 방법들인 NuAT는 실패한다.
• ResNet-18 기반의 CIFAR-10에서 PGD-10 강건 정확도가 최신 기술 수준을 달성하며, 빠른 훈련 및 표준 적대적 훈련 기반선을 모두 능가한다.
• 이전 지식 기반 초기화만으로도 과적합을 방지하고 강건성을 향상시킬 수 있지만, 정규화와 가중치 평균화와 조합하면 추가 훈련 시간을 최소화하면서도 최고의 성능을 달성한다.
• FGSM-PGK의 손실 곡면은 이전 방법들에 비해 적대적 방향에서 더 선형성을 보이며, 더 평탄하고 강건한 손실 프로파일을 나타낸다.
• 이전 지식 기반 정규화 방법은 손실의 부드러움을 향상시켜 이전 편향과 적대적 편향에 대한 강건성 향상과 관련이 있다.
• 표준 FGSM-AT와 유사한 훈련 시간으로도 뛰어난 강건성을 달성하여 실생활 적용에 효율적이고 실용적인 방법이 된다.