[논문 리뷰] Learning More Robust Features with Adversarial Training

Shuangtao Li, Yuanke Chen외 2명|arXiv (Cornell University)|2018. 04. 20.

Adversarial Robustness in Machine Learning참고 문헌 8인용 수 17

한 줄 요약

이 논문은 신경망의 은닉층에서의 특징 왜곡을 명시적으로 최소화함으로써 적대적 공격에 대한 강건성을 향상시키는 새로운 적대적 훈련 방법을 제안한다. 적대적 손실에 왜곡 정규화 항을 추가함으로써, 네트워크는 더 강건한 특징을 학습하도록 훈련되며, FGSM 및 PGD 공격에 대해 뚜렷한 저항력을 보이며, 특징 수준의 강건성까지 향상된다. 이는 MNIST 및 CIFAR-10에서 검증되었다.

ABSTRACT

In recent years, it has been found that neural networks can be easily fooled by adversarial examples, which is a potential safety hazard in some safety-critical applications. Many researchers have proposed various method to make neural networks more robust to white-box adversarial attacks, but an effective method have not been found so far. In this short paper, we focus on the robustness of the features learned by neural networks. We show that the features learned by neural networks are not robust, and find that the robustness of the learned features is closely related to the resistance against adversarial examples of neural networks. We also find that adversarial training against fast gradients sign method (FGSM) does not make the leaned features very robust, even if it can make the trained networks very resistant to FGSM attack. Then we propose a method, which can be seen as an extension of adversarial training, to train neural networks to learn more robust features. We perform experiments on MNIST and CIFAR-10 to evaluate our method, and the experiment results show that this method greatly improves the robustness of the learned features and the resistance to adversarial attacks.

연구 동기 및 목표

• 신경망이 적대적 편향에 노출되었을 때 학습된 특징의 강건성을 조사한다.
• 모델 수준의 강건성을 향상시키는 데에도 불구하고, 표준 적대적 훈련이 특징 수준의 강건성을 향상시키는 데에 한계가 있음을 규명한다.
• 내부 특징 표현의 강건성을 직접 향상시켜 종합적인 적대적 방어를 개선하는 방법을 개발한다.
• 더 강력한 적대자인 PGD와 같은 공격에 더 강한 저항력을 가지기 위해 더 강건한 특징이 필요한지 평가한다.
• 적대적 편향에 의해 유도되는 특징 왜곡을 최소화하는 훈련 목표를 제안하고 검증한다.

제안 방법

• 정상 입력과 적대적 편향이 가해진 입력 간의 정규화된 특징 값의 평균 제곱 왜곡을 측정하여 특징 강건성을 평가한다.
• 왜곡 정규화 항을 추가한 수정된 적대적 훈련 목표를 도입한다: $\tilde{J}_{adv} = \alpha J(x,y) + (1-\alpha)J(x^*,y) + \sum_{i=1}^{L-1} \beta_i \sum_{j=1}^{h_i} d_{ij}$, 여기서 $d_{ij}$는 레이어 i의 j번째 정규화된 특징의 왜곡이다.
• 훈련 중에 효율적인 적대적 예제 생성을 위해 FGSM을 사용하지만, 평가에는 PGD를 사용한다.
• 스케일 불변 왜곡 측정을 보장하기 위해 특징에 배치 정규화를 적용한다.
• 깊이가 깊은 레이어에 더 높은 값을 가진 계층별 가중치($\beta_i$)를 사용하여 고수준 표현의 강건성을 우선시한다.
• 수정된 목표를 사용해 MNIST 및 CIFAR-10에서 모델을 훈련하고, 정상, FGSM, PGD 편향이 가해진 테스트 세트에서 평가한다.

실험 결과

연구 질문

• RQ1 표준 및 적대적으로 훈련된 신경망이 학습한 특징은 입력 편향에 대해 강건한가?
• RQ2 FGSM에 대비한 적대적 훈련이 학습된 특징의 강건성을 어느 정도 향상시키는가?
• RQ3 훈련 중에 특징 왜곡을 명시적으로 최소화하면, PGD와 같은 더 강력한 적대자에 대비한 강건성이 향상되는가?
• RQ4 제안된 왜곡 정규화 훈련은 특징 수준 및 모델 수준의 강건성 측면에서 표준 적대적 훈련보다 어떻게 비교되는가?
• RQ5 향상된 특징 강건성이 다양한 적대적 공격에 대한 저항력 향상과 관련이 있는가?

주요 결과

• PGD 공격 하에서 높은 평균 왜곡 값으로 인해, 표준 및 FGSM 적대적으로 훈련된 네트워크가 학습한 특징은 강건하지 않다.
• FGSM에 대비한 적대적 훈련은 특징 강건성을 약간 향상시키지만, FGSM에 대한 모델 정확도가 크게 향상됨에도 불구하고 특징이 매우 강건하지는 않다.
• 제안된 방법은 표준 적대적 훈련보다 평균 특징 왜곡을 더 효과적으로 감소시키며, 특히 깊은 레이어에서 두드러진다.
• MNIST에서 제안된 방법은 FGSM에 대해 97.13%의 정확도, PGD에 대해 91.71%의 정확도를 기록하여 표준 적대적 훈련(94.92% FGSM, 6.12% PGD)을 뛰어넘었다.
• CIFAR-10에서 방법은 FGSM에 대해 65.14%의 정확도, PGD에 대해 34.40%의 정확도를 기록하여 표준 적대적 훈련(85.26% FGSM, 10.43% PGD)보다 뚜렷이 뛰어났다.
• 결과는 더 강건한 특징이 적대적 공격, 특히 일阶 적대자인 PGD에 대한 더 강력한 방어를 이끌어낸다는 것을 확인한다.