[논문 리뷰] Improving the Generalization of Adversarial Training with Domain Adaptation

Chuanbiao Song, Kun He외 2명|arXiv (Cornell University)|2018. 10. 01.

Adversarial Robustness in Machine Learning참고 문헌 27인용 수 47

한 줄 요약

ATDA는 FGSM 기반 적대적 학습을 도메인 적응 문제로 재구성하여 깨끗한 표현과 적대적 표현을 정렬하고, 다양한 공격에 대한 일반화 성능을 향상시키는 동시에 깨끗한 데이터에 대한 합리적인 정확도를 유지합니다.

ABSTRACT

By injecting adversarial examples into training data, adversarial training is promising for improving the robustness of deep learning models. However, most existing adversarial training approaches are based on a specific type of adversarial attack. It may not provide sufficiently representative samples from the adversarial domain, leading to a weak generalization ability on adversarial examples from other attacks. Moreover, during the adversarial training, adversarial perturbations on inputs are usually crafted by fast single-step adversaries so as to scale to large datasets. This work is mainly focused on the adversarial training yet efficient FGSM adversary. In this scenario, it is difficult to train a model with great generalization due to the lack of representative adversarial samples, aka the samples are unable to accurately reflect the adversarial domain. To alleviate this problem, we propose a novel Adversarial Training with Domain Adaptation (ATDA) method. Our intuition is to regard the adversarial training on FGSM adversary as a domain adaption task with limited number of target domain samples. The main idea is to learn a representation that is semantically meaningful and domain invariant on the clean domain as well as the adversarial domain. Empirical evaluations on Fashion-MNIST, SVHN, CIFAR-10 and CIFAR-100 demonstrate that ATDA can greatly improve the generalization of adversarial training and the smoothness of the learned models, and outperforms state-of-the-art methods on standard benchmark datasets. To show the transfer ability of our method, we also extend ATDA to the adversarial training on iterative attacks such as PGD-Adversial Training (PAT) and the defense performance is improved considerably.

연구 동기 및 목표

• 신경망을 적대적 예에 대한 강건성으로 유도하고 보지 못한 공격에 대한 일반화가 약한 문제를 다룹니다.
• 로짓 공간에서 깨끗한 데이터와 적대적 데이터 간의 격차를 잇기 위한 도메인 적응 프레임워크를 제안합니다.
• 일반적 적대적 학습과 함께 비지도 및 감독 도메인 적응을 결합하여 일반화를 향상시킵니다.
• 일반적인 데이터셋에서 효과를 입증하고 PGD와 같은 반복 공격으로 확장합니다.

제안 방법

• 로짓 공간에서 깨끗한 도메인과 적대적 도메인 간의 도메인 적응으로 적대적 학습을 모델링합니다.
• 비지도 도메인 적응 손실을 사용합니다: CORAL은 공분산을 정렬하고 MMD는 깨끗한 표현과 적대적 표현 간의 평균을 정렬합니다.
• 클래스 간 마진 기반 손실을 통해 intra-class 변동을 줄이고 inter-class 구분을 증가시키는 감독 도메인 적응을 도입하며, 센터 업데이트는 center loss와 유사합니다.
• 레이블 누설을 피하기 위해 FGSM 변형을 사용하여 적대적 예를 생성하고 이를 깨끗한 데이터와 적대적 데이터 모두에 대한 분류 손실과 도메인 적응 항을 포함하는 결합 손실로 학습에 포함시킵니다.
• 깨끗한 데이터와 적대적 데이터에 대한 표준 분류 손실과 도메인 정렬(UDA + SDA)를 위한 정규화 항을 포함하는 결합 목표를 정의하고 균형 매개변수 lambda를 둡니다.
• 미니 배치를 반복적으로 샘플링하고, 적대적 예를 생성하고, 클래스 센터를 업데이트하며, 네트워크와 센터를 최적화하는 알고리즘을 개요로 제시합니다.

실험 결과

연구 질문

• RQ1 로짓 공간에서 깨끗한 데이터와 적대적 데이터 간의 분포 차이를 도메인 적응 기법으로 줄일 수 있나요?
• RQ2 UDA로 모멘트와 공분산을 맞추고 SDA로 클래스 인식을 정렬하는 것이 FGSM를 넘어 보지 못한 적대자에 대한 일반화를 향상시키나요?
• RQ3 ATDA가 표준 적대적 학습과 호환되며 PGD와 같은 반복 공격에 확장 가능한가요?
• RQ4 전통적인 적대적 학습에 비해 깨끗한 정확도와 모델 매끄러움에 대한 ATDA의 영향은 무엇인가요?

주요 결과

• ATDA는 표준 adversarial training 및 일부 최신 기준선에 비해 여러 제한된 공격에 대한 일반화를 개선합니다.
• UDA 및 SDA 구성요소가 도메인 불변성과 강인성에 기여하며, 제거 실험에서도 도메인 정렬로 상당한 이득이 나타납니다.
• ATDA는 기준선에 비해 로컬 손실 민감도가 감소한 매끄러운 모델을 생성합니다.
• 학습된 로짓 표현은 다른 방법보다 깨끗한 도메인과 적대적 도메인 간의 분포 정렬이 더 가까워지며(MMD 거리가 더 작음).
• ATDA는 PGD 기반 적대적 학습을 위한 PATDA로 확장할 수 있으며, 일부 데이터셋에서 PAT보다 더 강한 강건성을 달성하지만 데이터셋에 따라 결과가 다릅니다.