[논문 리뷰] On Collective Robustness of Bagging Against Data Poisoning

Ruoxin Chen, Zenan Li외 3명|arXiv (Cornell University)|2022. 05. 26.

Advanced Graph Neural Networks인용 수 5

한 줄 요약

이 논문은 일반적인 배깅에 대한 글로벌 데이터 풀링 공격에 대해, 처음으로 집합적 내성 인증을 제안하며, 공격자가 뒤바꿀 수 있는 예측 수의 최대값을 계산하기 위해 이진 정수 선형계획문제(BILP)를 수립한다. 또한, 최소한의 오버헤드로 순수한 배킹의 내성을 크게 향상시키는 결정론적 해시 기반 부분표본 추출 방법인 해시 배킹을 제안한다. 이는 아키텍처 제약 없이 다양한 데이터셋에서 인증된 내성 성능을 크게 향상시킨다.

ABSTRACT

Bootstrap aggregating (bagging) is an effective ensemble protocol, which is believed can enhance robustness by its majority voting mechanism. Recent works further prove the sample-wise robustness certificates for certain forms of bagging (e.g. partition aggregation). Beyond these particular forms, in this paper, \emph{we propose the first collective certification for general bagging to compute the tight robustness against the global poisoning attack}. Specifically, we compute the maximum number of simultaneously changed predictions via solving a binary integer linear programming (BILP) problem. Then we analyze the robustness of vanilla bagging and give the upper bound of the tolerable poison budget. Based on this analysis, \emph{we propose hash bagging} to improve the robustness of vanilla bagging almost for free. This is achieved by modifying the random subsampling in vanilla bagging to a hash-based deterministic subsampling, as a way of controlling the influence scope for each poisoning sample universally. Our extensive experiments show the notable advantage in terms of applicability and robustness.

연구 동기 및 목표

• 일반적인 배킹에 대해 글로벌 풀링 공격에 대한 공식적인 집합적 내성 인증이 부족한 문제를 해결하기 위해.
• 일반적으로 집합적 내성 성능를 과소평가하는 개별 샘플 기반 인증보다 더 날카운 내성 경계를 계산하기 위해.
• 서브트레이닝 세트와 서브분류기 예측에 기반해 순수한 배킹의 내성 이론적 한계를 분석하고, 내성 유지가 가능한 풀링 예산의 상한을 유도하기 위해.
• 모델 아키텍처나 하이퍼파라미터를 수정하지 않고도 적용 가능한 실용적인 플러그 앤 플레이 방어 기법인 해시 배킹을 제안하기 위해.
• 해시 배킹이 경쟁적인 정확도를 유지하면서도 더 뛰어난 인증된 내성 성능을 달성할 수 있음을 보여주기 위해.

제안 방법

• 주어진 풀링 예산 하에서 동시에 변경될 수 있는 예측 수를 최대화하기 위해 이진 정수 선형계획문제(BILP)를 수립함으로써, 집합적 내성 인증을 가능하게 한다.
• BILP 해결에 소요되는 계산 비용을 줄이기 위해 분해 전략을 도입하여, 테스트 세트 크기와 선형 시간 내에 계산이 가능한 방법을 확보한다.
• 서브트레이닝 세트와 서브분류기 예측에 기반해 순수한 배킹이 견딜 수 있는 풀링 예산의 상한을 이론적으로 유도한다.
• 무작위 부분표본 추출을 결정론적 해시 기반 추출로 대체하여 각 훈련 샘플의 영향 범위를 제한함으로써 해시 배킹을 제안한다.
• 분해 전략을 활용해 순수한 배킹과 해시 배킹의 집합적 내성 하한을 효율적으로 계산한다.
• 네 가지 데이터셋에서의 실증적 평가를 통해 다양한 배킹 변종 간의 인증된 내성 성능와 정확도를 비교한다.

실험 결과

연구 질문

• RQ1 글로벌 데이터 풀링 공격에 대해 개별 샘플 기반 경계에 의존하는 것보다, 일반적인 배킹의 집합적 내성 성능을 공식적으로 인증할 수 있는가?
• RQ2 순수한 배킹이 내성 성능를 상실하기 전까지 견딜 수 있는 풀링 예산의 이론적 상한은 얼마인가?
• RQ3 모델 아키텍처나 하이퍼파라미터를 변경하지 않고도 순수한 배킹의 내성 성능을 향상시킬 수 있는가?
• RQ4 결정론적 해시 기반 부분표본 추출 전략이 풀링된 샘플의 영향 범위를 효과적으로 제한하고 집합적 내성 성능를 향상시킬 수 있는가?
• RQ5 기존의 개별 샘플 기반 인증 방법과 비교했을 때, 제안된 집합적 인증 방법은 얼마나 날카운지이고 실용적인가?

주요 결과

• 제안된 BILP 기반 집합적 인증은 개별 샘플 기반 인증보다 훨씬 날카운 내성 경계를 제공하며, CIFAR-10에서 50% 풀링 예산일 경우 공격 예산(M_ATK)이 최대 26.6% 낮아진다.
• CIFAR-10에서 5% 풀링 예산일 경우 해시 배킹은 집합적 내성(CR)에서 최대 16.3% 향상되고, 인증 정확도(CA)에서 최대 15.2% 향상된다.
• CIFAR-10에서 50% 풀링 예산일 경우 해시 배킹은 집합적 내성에서 공격 예산(M_ATK)을 순수한 배킹 대비 9.67% 감소시키며, 인증 정확도에서는 15.2% 감소시킨다.
• 분해 전략 덕분에 테스트 세트 크기와 선형 시간 내에 집합적 내성 하한을 효율적으로 계산할 수 있어, 이 방법이 확장 가능함을 입증한다.
• 해시 배킹은 추가적인 하이퍼파라미터 제약이나 모델 아키텍처 제약 없이 최소한의 비용으로 뛰어난 내성 성능를 달성하여 광범위하게 적용 가능하다.
• 네 가지 데이터셋에 대한 실증 결과는 해시 배킹이 다양한 풀링 예산에서 일관되게 인증된 내성 성능를 향상시키며, 경쟁적인 정확도를 유지함을 확인한다.