[논문 리뷰] Label Smoothing and Adversarial Robustness

Chaohao Fu, Hongbin Chen외 2명|arXiv (Cornell University)|2020. 09. 17.

Adversarial Robustness in Machine Learning참고 문헌 22인용 수 10

한 줄 요약

이 논문은 기울기 기반 적대적 공격에 대비하여 레이블 스무딩을 방어 수단으로 활용하는지 조사하며, 모델 최적화 동역학을 변화시킴으로써 강력한 정확도를 크게 향상시킨다 (예: PGD 공격 하에서 CIFAR-10에서 75.10%). 그러나 이 보존성은 정교한 공격 전략에 쉽게 우회되며, 레이블 스무딩이 진정으로 또는 일관되게 적대적 보존성을 제공하지는 않는다는 점을 드러낸다.

ABSTRACT

Recent studies indicate that current adversarial attack methods are flawed and easy to fail when encountering some deliberately designed defense. Sometimes even a slight modification in the model details will invalidate the attack. We find that training model with label smoothing can easily achieve striking accuracy under most gradient-based attacks. For instance, the robust accuracy of a WideResNet model trained with label smoothing on CIFAR-10 achieves 75% at most under PGD attack. To understand the reason underlying the subtle robustness, we investigate the relationship between label smoothing and adversarial robustness. Through theoretical analysis about the characteristics of the network trained with label smoothing and experiment verification of its performance under various attacks. We demonstrate that the robustness produced by label smoothing is incomplete based on the fact that its defense effect is volatile, and it cannot defend attacks transferred from a naturally trained model. Our study enlightens the research community to rethink how to evaluate the model's robustness appropriately.

연구 동기 및 목표

• 레이블 스무딩이 진정된 보존성인지, 아니면 단지 표준 기울기 기반 공격의 약점을 악용하는 가짜 보존성인지 조사하는 것.
• 레이블 스무딩이 모델 최적화 및 기울기 행동에 미치는 이론적 메커니즘을 분석하는 것.
• 다양한 공격 전략, 특히 전이 공격를 포함한 레이블 스무딩 모델의 보존성 평가.
• 현재의 적대적 보존성 평가 방법, 특히 PGD와 CW의 타당성을 도전하는 것.
• 더 체계적이고 효율적인 공격 방법이 모델 보존성을 공정하게 평가하기 위해 절실하게 필요하다는 점을 강조하는 것.

제안 방법

• 교차 엔트로피 손실 계산 시 원-핫 레이블 대신 균일한 레이블 벡터를 스무딩하여 딥 네ural 네트워크를 훈련시킴.
• 레이블 스무딩이 기울기 방향과 최적화 지형을 어떻게 변화시키는지에 중점을 둔 이론적 분석으로, 특히 부드러운 로지트와 출력 분포를 통해 분석함.
• PGD, FGSM, CW 공격를 사용하여 MNIST, CIFAR-10, CIFAR-100에서 광범위한 실험을 수행함 (단계 크기, 리스타트, 초기화 방식 등 다양한 초모수 설정).
• 자연스럽게 훈련된 모델에서 생성된 적대적 예제의 전이 가능성 평가를 통해 레이블 스무딩 모델의 보존성 안정성 테스트.
• 마진 손실과 표준 CW 공격 변형을 사용하여 결과를 비교하고, 손실 함수 선택이 보존성 평가에 미치는 영향을 평가함.
• 공격 초모수를 수정하여 공격의 민감도를 테스트하기 위해 탈락 연구를 수행함으로써, 레이블 스무딩 모델이 최적화 동역학에 얼마나 민감한지 분석함.

실험 결과

연구 질문

• RQ1 레이블 스무딩은 진정으로 적대적 보존성을 향상시키는가, 아니면 단지 표준 기울기 기반 공격의 약점을 악용하는가?
• RQ2 레이블 스무딩은 딥 네럴 네트워크에서 최적화 궤적과 기울기 방향을 어떻게 변화시키는가?
• RQ3 자연스럽게 훈련된 모델에서 생성된 전이 공격를 통해 레이블 스무딩 모델에 대해 신뢰성 있게 적대적 예제를 생성할 수 있는가?
• RQ4 왜 표준 공격 방법인 PGD와 CW는 레이블 스무딩 모델에 대해 신뢰성 있게 적대적 예제를 찾지 못하는가?
• RQ5 레이블 스무딩 모델의 보존성은 단계 크기 및 리스타트와 같은 공격 초모수에 얼마나 의존하는가?

주요 결과

• PGD 공격 하에서 CIFAR-10에서 레이블 스무딩을 적용한 모델은 75.10%의 강력한 정확도를 기록하며, 표준 모델(0%)과 많은 방어 기반 기법보다 뛰어난 성능을 보임.
• CIFAR-100에서 레이블 스무딩 모델은 PGD 공격 하에 34.23%의 강력한 정확도를 기록했고, 비스무딩 대비 모델은 단지 0.03%에 불과함.
• 자연스럽게 훈련된 모델에서 유도된 전이 공격는 레이블 스무딩 모델에 대해 PGD 공격에 대해 85.15%의 성공률 기록함으로써, 교차 모델 공격에 취약함을 시사함.
• PGD의 단계 크기를 증가시키거나 리스타트를 추가하면 강력한 정확도가 75.10%에서 8.15%로 감소함으로써, 레이블 스무딩의 보존성이 불안정함을 입증함.
• CW 공격는 레이블 스무딩 모델에 대해 87.90%의 전이 성공률 기록함으로써, 마진 손실 기반 공격가 레이블 스무딩 방어를 효과적으로 우회할 수 있음을 보여줌.
• 레이블 스무딩은 공격 초모수나 초기화 전략의 경미한 변형에 의해 방어 효과가 사라지므로, 안정적 또는 일관된 보존성을 제공하지 않음.