[논문 리뷰] MMA Training: Direct Input Space Margin Maximization through Adversarial Training

Gavin Weiguang Ding, Yash Sharma외 2명|arXiv (Cornell University)|2018. 12. 06.

Adversarial Robustness in Machine Learning참고 문헌 28인용 수 95

한 줄 요약

MMA 학습은 각 데이터 포인트에 대해 교란 반경을 적응시켜 샘플당 입력 공간 여백을 직접 최대화하고, 여백 최대화를 adversarial 강건성에 연결합니다.

ABSTRACT

We study adversarial robustness of neural networks from a margin maximization perspective, where margins are defined as the distances from inputs to a classifier's decision boundary. Our study shows that maximizing margins can be achieved by minimizing the adversarial loss on the decision boundary at the "shortest successful perturbation", demonstrating a close connection between adversarial losses and the margins. We propose Max-Margin Adversarial (MMA) training to directly maximize the margins to achieve adversarial robustness. Instead of adversarial training with a fixed $ε$, MMA offers an improvement by enabling adaptive selection of the "correct" $ε$ as the margin individually for each datapoint. In addition, we rigorously analyze adversarial training with the perspective of margin maximization, and provide an alternative interpretation for adversarial training, maximizing either a lower or an upper bound of the margins. Our experiments empirically confirm our theory and demonstrate MMA training's efficacy on the MNIST and CIFAR10 datasets w.r.t. $\ell_\infty$ and $\ell_2$ robustness. Code and models are available at https://github.com/BorealisAI/mma_training.

연구 동기 및 목표

• 입력 공간에서의 여백을 입력과 분류기 결정 경계 사이의 거리로 정의하고 여백 최대화를 적대적 손실과 연결합니다.
• 데이터 포인트별로 적응형 epsilon으로 샘플당 여백을 최대화하기 위한 Max-Margin Adversarial (MMA) 학습을 제안합니다.
• 여백 최대화가 가장 짧은 성공적 교란에서의 손실을 최소화함으로써 이루어질 수 있음을 보이고, 이를 통해 그래디언트 기반 최적화를 가능하게 합니다.
• 여백 최대화의 관점에서 적대적 학습에 대한 이론적 분석을 제공하고, ℓ∞ 및 ℓ2 교란 하에서 MNIST 및 CIFAR-10에 대한 실험으로 검증합니다.

제안 방법

• 여백 d_theta(x,y)를 분류기의 결정을 바꾸기에 필요한 최소 교란으로 정의합니다.
• 학습 안정화를 위한 소프트 로짓 여백 손실 L_SLM을 로짓 여백 손실의 매끄러운 대체손실로 사용합니다.
• 최대 여백이 d_max까지 증가하도록 하면서 잘못 분류된 점에서의 분류 손실을 최소화하는 MMA 목적 함수를 제안합니다.
• 모델 매개변수에 대한 여백 그래디언트가 가장 짧은 성공적 교란에서의 손실 그래디언트에 비례한다는 것을 보여줍니다.
• 가장 짧은 성공적 교란 delta*를 근사화하기 위해 Adaptive Norm Projection Gradient Descent (AN-PGD)를 사용하여 여백 계산 및 업데이트에 활용합니다.
• 선택적으로 L_CB를 포함시켜 깨끗한 예제 손실 항을 추가함으로써 훈련의 안정성을 높이는 혼합 손실을 포함시킬 수 있습니다.

실험 결과

연구 질문

• RQ1 MMA를 통해 샘플당 입력 공간 여백을 최대화하는 것이 고정된 이프실럽 adversarial training에 비해 적대적 강건성을 향상시킬 수 있습니까?
• RQ2 예제마다 여백 임계값 d_max의 적응 선택이 정확도와 강건성 간의 더 나은 균형을 만들어내나요?
• RQ3 여백 최대화 관점에서 표준 대적 학습과의 관계(대체 손실을 사용할 때도 포함)와의 관계는 어떠합니까?
• RQ4 MMA로 학습된 모델은 MNIST 및 CIFAR-10에서 ℓ∞ 및 ℓ2 교란에 대해 강건성을 유지합니까?
• RQ5 여백이 명시적으로 최적화될 때 훈련 다이나믹스는 어떤 모습으로 나타납니까?

주요 결과

• MMA 학습은 훈련 데이터 전체의 여백을 확대하며, 고정 이프실랍 대적 학습은 작은 여백을 남길 수 있습니다.
• 다양한 공격 크기에서 평균적으로 더 높은 강건성을 달성하되 정확도와의 균형을 유지하고, 하이퍼파라미터에 민감한 의존성을 줄입니다.
• 이론적 분석은 적대적 학습을 여백 최대화와 연결하며, MMA가 적응적 교란을 통해 각 샘플의 “올바른” 여백을 선택함을 보입니다.
• MNIST 및 CIFAR-10에서 ℓ∞ 및 ℓ2 하에서 MMA의 강건성과 여백 기반 목표와의 정렬이 입증됩니다.