[논문 리뷰] L 1-norm double backpropagation adversarial defense

Ismaïla Seck, Gaëlle Loosli외 1명|arXiv (Cornell University)|2019. 03. 05.

Adversarial Robustness in Machine Learning참고 문헌 8인용 수 5

한 줄 요약

이 논문은 입력에 대한 출력의 미분계수의 $L_1$-노름을 페널티로 적용하여 적대적 편향에 대한 모델 민감도를 감소시키는 $L_1$-노름 이중 역전파 방어 기법을 제안한다. 적대적 훈련과 조합할 경우, $\lambda=50$일 때 $\varepsilon=0.3$ 조건에서 적대적 예측에 대해 최대 97.25%의 정확도를 달성하며, 이는 기울기 페널티가 적대적 훈련만으로는 달성할 수 없는 강건성을 향상시킨다는 것을 보여준다.

ABSTRACT

Adversarial examples are a challenging open problem for deep neural networks. We propose in this paper to add a penalization term that forces the decision function to be at in some regions of the input space, such that it becomes, at least locally, less sensitive to attacks. Our proposition is theoretically motivated and shows on a first set of carefully conducted experiments that it behaves as expected when used alone, and seems promising when coupled with adversarial training.

연구 동기 및 목표

• 최소한의 시각적으로 인식할 수 없는 편향으로 인해 입력을 잘못 분류하는 적대적 예제 문제를 해결하기 위해.
• 기울기 페널티를 통해 입력 편향에 대한 국소적 민감도를 감소시켜 모델의 강건성을 향상시키기 위해.
• 적대적 강건성에 대한 $L_1$-노름 기반 기울기의 정규화 항으로서 이론적 근거를 제시하기 위해.
• 적대적 훈련과 $L_1$-노름 기울기 페널티를 조합했을 때의 효과를 평가하기 위해.
• 학습 데이터 주변에서 결정 함수의 평탄성이 적대적 공격에 대한 강건성에 기여하는지 탐색하기 위해.

제안 방법

• 각 출력 성분 $f_i$의 입력 $\mathbf{x}$에 대한 기울기의 $L_1$-노름, 즉 $\|\nabla_{\mathbf{x}}f_i(\mathbf{x})\|_1$을 페널티로 적용하여 결정 함수의 국소적 평탄성을 강제한다.
• 원본 입력 뿐 아니라 적대적 편향이 가해진 점에도 페널티를 적용하여 근처 입력 전역에서의 강건성을 확보한다.
• 1차 테일러 전개를 사용하여 $\|\nabla_{\mathbf{x}}f_i(\mathbf{x})\|_1$을 최소화하면, 작은 편향 $\varepsilon\mathbf{v}$에 대해 출력의 변화가 제한됨을 보여준다.
• 표준 교차 엔트로피 손실에 기울기 페널티 항을 추가하여 훈련 과정에 통합하며, 정규화 강도를 제어하는 하이퍼파rameter $\lambda$를 사용한다.
• FGSM로 생성된 적대적 예제를 사용하여 적대적 훈련과 조합하여 평가하며, $\mathcal{X}=[0,1]^d$ 유지 목적의 레이블 스무딩 및 입력 클리핑을 적용한다.
• 계산 제약으로 인해 자코비안 노름을 $\sum_{j=1}^d \left| \sum_{i=1}^c \frac{\partial f_i(\mathbf{x})}{\partial x_j} \right|$로 근사한다.

실험 결과

연구 질문

• RQ1 입력에 대한 출력 기울기의 $L_1$-노름을 페널티로 적용하면 적대적 강건성이 향상되는가?
• RQ2 적대적 훈련과 조합된 제안된 $L_1$-노름 기울기 페널티는 적대적 훈련만으로는 달성할 수 없는 더 강건한 모델을 얻을 수 있는가?
• RQ3 기울기 페널티 강도($\lambda$)가 청소 정확도와 강건성 간의 트레이드오프에 어떤 영향을 미치는가?
• RQ4 결정 함수의 국소적 평탄성을 강제하면 적대적 편향에 대한 민감도가 감소하는가?
• RQ5 $L_1$-노름 기울기는 적대적 방어를 위한 이론적으로 타당하고 효과적인 정규화인가?

주요 결과

• 단독으로 $L_1$-노름 기울기 페널티를 적용해도 강건성이 향상되며, 청소 정확도는 높게 유지된다(예: 모델 A의 경우 99.36%). $\lambda=10$일 때 적대적 정확도는 95.72%에서 98.73%로 상승한다.
• 적대적 훈련과 조합했을 때, 모델 C에서 $\varepsilon=0.3$, $\lambda=50$ 조건에서 97.25%의 적대적 정확도를 달성하며, 적대적 훈련만으로는 95.52%에 그친다.
• $\lambda$를 10에서 50으로 증가시켰을 때, 모델 C의 적대적 정확도는 96.62%에서 97.25%로 상승하여 더 강한 페널티가 긍정적인 영향을 미친다.
• $\lambda=1000$일 경우, 적대적 정확도는 94.65%로 하락하여 과도한 $\lambda$가 성능에 악영향을 미친다는 것을 보여주며, $\lambda$의 최적 범위가 존재함을 시사한다.
• 여러 모델(A, B, C) 전반에 걸쳐 일관된 향상이 관찰되며, 더 강한 공격에 대해 더 큰 성과 향상이 나타나, 강력한 공격에 대한 효과성을 보여준다.
• 일부 결과에서 큰 표준편차가 관찰되어 100 에포크 동안 훈련이 완전히 수렴하지 못했을 가능성이 있으며, 더 긴 훈련 기간으로 더 향상될 여지가 있음을 시사한다.