[논문 리뷰] Jacobian Adversarially Regularized Networks for Robustness

Alvin Chan, Yi Tay외 2명|PolyPublie (École Polytechnique de Montréal)|2019. 12. 21.

Adversarial Robustness in Machine Learning참고 문헌 33인용 수 8

한 줄 요약

이 논문은 적대적 정규화를 통해 입력 이미지와 유사한 형태의 주로 상징적인 자코비안 행렬을 생성하도록 분류기를 훈련시키는, 자코비안 적대적으로 정규화된 네트워크(JARN)를 제안한다. 판별자(discriminator)를 사용하여 자코비안 행렬이 실제 이미지와 유사하도록 강제함으로써, JARN은 적대적 훈련 예제를 사용하지 않고도 MNIST, SVHN, CIFAR-10에서 개선된 강건한 정확도를 달성하며, 적대적 훈련과 조합될 경우 추가적인 강건성 향상을 제공한다.

ABSTRACT

Adversarial examples are crafted with imperceptible perturbations with the intent to fool neural networks. Against such attacks, adversarial training and its variants stand as the strongest defense to date. Previous studies have pointed out that robust models that have undergone adversarial training tend to produce more salient and interpretable Jacobian matrices than their non-robust counterparts. A natural question is whether a model trained with an objective to produce salient Jacobian can result in better robustness. This paper answers this question with affirmative empirical results. We propose Jacobian Adversarially Regularized Networks (JARN) as a method to optimize the saliency of a classifier's Jacobian by adversarially regularizing the model's Jacobian to resemble natural training images. Image classifiers trained with JARN show improved robust accuracy compared to standard models on the MNIST, SVHN and CIFAR-10 datasets, uncovering a new angle to boost robustness without using adversarial training examples.

연구 동기 및 목표

• 분류기의 입력 자코비안 행렬의 민감도를 향상시키는 것이 적대적 강건성 향상에 기여하는지 조사하는 것.
• 훈련 중에 적대적 예제가 필요하지 않은 방어 기법을 개발하여 강건성 확보의 새로운 길을 제시하는 것.
• 적대적 훈련의 부산물로 나타나는 자코비안 민감도를 주요 훈련 목표로 활용할 수 있는지 탐색하는 것.
• 다양한 데이터셋과 방어 설정에서 제안된 방법의 강건성과 효율성 평가하기

제안 방법

• JARN은 분류기의 입력 자코비안이 원본 입력 이미지와 유사하도록 유도하는 적대적 정규화 손실을 도입한다.
• 판별자 네트워크는 실제 입력 이미지와 분류기의 해당 자코비안 행렬을 구분하도록 훈련된다.
• 분류기는 판별자가 자코비안 행렬을 실제 이미지로 분류하도록 유도하기 위해 최적화되며, 이로 인해 민감도가 높고 구조적인 자코비안 출력이 유도된다.
• 표준 경험적 리스크 최소화를 사용하여 종합적인 교차 엔트로피 손실과 적대적 정규화 손실을 조합한 방식으로 엔드 투 엔드로 훈련된다.
• 정규화 항은 자코비안 행렬과 입력 이미지 간의 일치 정도를 제어하는 하이퍼파rameter λ_adv로 가중된다.
• 기존 훈련 및 적대적 훈련과 호환되며, 추가적인 강건성 향상을 가능하게 한다.

실험 결과

연구 질문

• RQ1 분류기의 입력 자코비안 행렬의 민감도를 향상시키는 것이 적대적 강건성 향상에 기여할 수 있는가?
• RQ2 자코비안 민감도가 적대적 훈련 예제 없이도 강건성 향상의 주요 훈련 목표로 유의미한가?
• RQ3 제안된 적대적 정규화 프레임워크가 훈련을 안정화시키고 다양한 데이터셋에 일반화되는가?
• RQ4 기존의 적대적 훈련 방법과 비교해 JARN의 강건성과 효율성은 어떠한가?
• RQ5 JARN의 강건성은 기울기 가림(gradient masking) 때문인지, 진정으로 전이 공격에 대비한 강건성인가?

주요 결과

• JARN은 훈련 중에 적대적 예제를 사용하지 않아도 MNIST, SVHN, CIFAR-10에서 표준 모델보다 높은 강건한 정확도를 달성한다.
• FGSM 적대적 훈련과 조합된 JARN-AT1은 일부 경우에서 표준 PGD-AT7보다 경쟁적인 강건성을 보였다.
• JARN은 7단계 PGD 적대적 훈련의 시간을 절반 이하로 줄였으며, CIFAR-10에서 에포크당 217초로, PGD-AT7의 704초보다 빠르게 훈련되었다.
• JARN 모델의 자코비안 행렬은 시각적으로 민감도가 높고, 특히 더 넓은 이미지 영역을 커버하는 바탕으로 표준 모델보다 입력 이미지와 더 유사하다.
• JARN은 블랙박스 전이 공격에 대해 강건성을 보였으며, 화이트박스 공격보다 높은 정확도를 기록하여 기울기 가림에 의존하지 않는 것으로 나타났다.
• JARN의 성능은 다양한 하이퍼파rameter 범위에서 안정적이었으며, 실제 이미지와 자코비안을 짝지어 훈련하는 방식 덕분에 강건한 훈련 동역학을 보였다.