[논문 리뷰] On the Adversarial Robustness of Visual Transformers

Rulin Shao, Zhouxing Shi외 3명|arXiv (Cornell University)|2021. 03. 29.

Adversarial Robustness in Machine Learning참고 문헌 54인용 수 50

한 줄 요약

이 논문은 비전 트랜스포머(ViTs)의 적대적 로버스트니에 대한 최초의 종합적 분석을 제공하며, ViTs가 컨volutional 네트워크(CNNs)보다 적대적 편향에 대해 더 뛰어난 로버스트니를 보임을 입증한다. 이는 ViTs가 저수준 정보를 덜 포함하고 고수준의 일반화 능력 있는 특징을 학습함으로써 고주파 노이즈에 덜 민감하게 되기 때문이다. 반면 하이브리드 아키텍처나 모델 크기의 증가는 일관되게 로버스트니를 향상시키지 못한다.

ABSTRACT

Following the success in advancing natural language processing and understanding, transformers are expected to bring revolutionary changes to computer vision. This work provides the first and comprehensive study on the robustness of vision transformers (ViTs) against adversarial perturbations. Tested on various white-box and transfer attack settings, we find that ViTs possess better adversarial robustness when compared with convolutional neural networks (CNNs). We summarize the following main observations contributing to the improved robustness of ViTs: 1) Features learned by ViTs contain less low-level information and are more generalizable, which contributes to superior robustness against adversarial perturbations. 2) Introducing convolutional or tokens-to-token blocks for learning low-level features in ViTs can improve classification accuracy but at the cost of adversarial robustness. 3) Increasing the proportion of transformers in the model structure (when the model consists of both transformer and CNN blocks) leads to better robustness. But for a pure transformer model, simply increasing the size or adding layers cannot guarantee a similar effect. 4) Pre-training on larger datasets does not significantly improve adversarial robustness though it is critical for training ViTs. 5) Adversarial training is also applicable to ViT for training robust models. Furthermore, feature visualization and frequency analysis are conducted for explanation. The results show that ViTs are less sensitive to high-frequency perturbations than CNNs and there is a high correlation between how well the model learns low-level features and its robustness against different frequency-based perturbations.

연구 동기 및 목표

• 비전 트랜스포머(ViTs)의 적대적 로버스트니를 컨volutional 네트워크(CNNs)와 비교하여 조사하는 것.
• ViTs의 적대적 공격에 대한 로버스트니에 영향을 미치는 아키텍처적 및 훈련 요인을 규명하는 것.
• 저수준 특징 학습이 주파수 기반 편향에 대한 민감도를 결정하는 데 미치는 역할을 분석하는 것.
• 대규모 데이터셋에서의 적대적 훈련 및 사전 훈련이 ViT의 로버스트니 향상에 얼마나 효과적인지 평가하는 것.

제안 방법

• 다양한 데이터셋에서 ViTs와 CNNs에 대해 광범위한 화이트박스 및 투자 공격 평가를 수행하였다.
• 특징 시각화 및 주파수 분석을 수행하여 ViTs와 CNNs가 적대적 편향에 어떻게 반응하는지 비교하였다.
• 컨볼루션 또는 토큰-투-토큰 블록을 통합하여 ViT 아키텍처를 수정함으로써 그들의 로버스트니에 미치는 영향을 평가하였다.
• 하이브리드 모델에서 트랜스포머 블록의 비율을 변화시켜 아키텍처 구성과 로버스트니 간의 관계를 연구하였다.
• ViTs에 대해 적대적 훈련을 적용하여 그 로버스트니 향상 효과를 평가하였다.
• 저수준 특징 학습과 고주파 편향에 대한 민감도 간의 상관관계를 분석하였다.

실험 결과

연구 질문

• RQ1 화이트박스 및 투자 공격 설정에서 비전 트랜스포머의 적대적 로버스트니는 컨볼루션 네트워크와 비교해 어떻게 되는가?
• RQ2 ViTs의 적대적 편향에 대한 향상된 로버스트니에 기여하는 아키텍처 구성 요소나 설계 선택은 무엇인가?
• RQ3 ViTs에 컨볼루션 또는 토큰-투-토큰 블록을 통합할 경우 로버스트니와 특징 표현에 어떤 영향을 미치는가?
• RQ4 대규모 데이터셋에서의 사전 훈련이 ViTs의 적대적 로버스트니 향상에 어느 정도 기여하는가?
• RQ5 적대적 훈련은 비전 트랜스포머 모델의 로버스트니 향상에 효과적으로 작용할 수 있는가?

주요 결과

• ViTs는 다양한 공격 설정에서, 특히 투자 공격에서 CNNs보다 뚜렷이 뛰어난 적대적 로버스트니를 보인다.
• ViTs는 저수준 정보를 덜 포함하고 일반화 능력이 높은 특징을 학습함으로써 적대적 편향에 대한 로버스트니에 기여한다.
• 컨볼루션 또는 토큰-투-토큰 블록을 ViTs에 통합하면 정확도는 향상되지만, 저수준 특징에 대한 민감도 증가로 인해 적대적 로버스트니는 감소한다.
• 하이브리드 모델에서 트랜스포머 블록의 비율을 늘일수록 로버스트니가 향상되지만, 깊이 또는 너비를 늘여 순수한 ViT 모델을 확장하는 것만으로는 로버스트니 향상이 보장되지 않는다.
• 더 큰 데이터셋에서의 사전 훈련은 비록 ViTs를 효과적으로 훈련시키는 데 필수적이지만, 적대적 로버스트니 향상에 크게 기여하지 못한다.
• 적대적 훈련은 ViTs에 대해 효과적이며, 강건한 비전 트랜스포머 모델을 훈련하는 데 활용될 수 있다. 이는 이 아키텍처에 적대적 훈련의 적용 가능성을 확인한다.