[논문 리뷰] On the Effect of Low-Rank Weights on Adversarial Robustness of Neural Networks

Peter Langenberg, Emilio Rafael Balda외 2명|arXiv (Cornell University)|2019. 01. 29.

Adversarial Robustness in Machine Learning참고 문헌 24인용 수 6

한 줄 요약

이 논문은 딥 네ural 네트워크의 적대적 로버스트니를 향상시키는 데 있어 저랭크 및 희소 가중치 행렬의 역할을 조사한다. 저랭크 및 희소 구조를 촉진하기 위해 핵노름과 L1 정규화를 적용함으로써, 저자들은 FGSM 및 PGD 공격에 대한 로버스트니에서 뚜렷한 향상을 입증한다. 특히 두 성질을 동시에 최적화할 경우 성능 향상이 두드러지지만, 여전히 전체 적대적 훈련 수준에 못 미친다.

ABSTRACT

Recently, there has been an abundance of works on designing Deep Neural Networks (DNNs) that are robust to adversarial examples. In particular, a central question is which features of DNNs influence adversarial robustness and, therefore, can be to used to design robust DNNs. In this work, this problem is studied through the lens of compression which is captured by the low-rank structure of weight matrices. It is first shown that adversarial training tends to promote simultaneously low-rank and sparse structure in the weight matrices of neural networks. This is measured through the notions of effective rank and effective sparsity. In the reverse direction, when the low rank structure is promoted by nuclear norm regularization and combined with sparsity inducing regularizations, neural networks show significantly improved adversarial robustness. The effect of nuclear norm regularization on adversarial robustness is paramount when it is applied to convolutional neural networks. Although still not competing with adversarial training, this result contributes to understanding the key properties of robust classifiers.

연구 동기 및 목표

• 저랭크 및 희소 가중치 구조가 딥 네럴 네트워크에서 적대적 로버스트니에 기여하는지 조사하는 것.
• 정규화를 통해 이러한 구조적 성질를 촉진함으로써 전체 적대적 훈련 없이도 로버스트니를 향상시킬 수 있는지 판단하는 것.
• 적대적 훈련 중 가중치 행렬의 유효 랭크와 유효 희소성 간의 상호작용을 분석하는 것.
• 랭크와 희소성에 대한 동시 정규화가 개별 정규화보다 더 나은 로버스트니를 제공하는지 평가하는 것.

제안 방법

• 저자들은 훈련된 네트워크의 가중치 행렬의 저랭크 및 희소 구조를 정량화하기 위해 유효 랭크와 유효 희소성을 메트릭으로 사용한다.
• 핵노름 정규화를 적용하여 합성곱 및 완전연결 레이어에서 저랭크 구조를 촉진한다.
• L1 정규화를 사용하여 가중치 행렬의 희소성을 유도한다.
• 일부 레이어에 핵노름 및 L1 페널티를 동시에 적용하는 공동 정규화 전략을 통해 저랭크 및 희소 구조를 동시에 촉진한다.
• FGSM 및 PGD 공격(ε = 0.05)을 사용하여 MNIST 및 Fashion-MNIST에서 실험을 수행하여 속임당할 확률을 평가한다.
• 훈련 후 가중치 행렬을 시각화하여 저랭크 및 희소 패턴의 존재를 정성적으로 확인한다.

실험 결과

연구 질문

• RQ1 적대적 훈련은 딥 네럴 네트워크에서 저랭크 및 희소 가중치 행렬을 자연스럽게 유도하는가?
• RQ2 저랭크 및 희소 가중치 구조를 촉진하기 위한 명시적 정규화는 적대적 로버스트니를 향상시킬 수 있는가?
• RQ3 저랭크 및 희소 정규화의 조합이 개별 정규화보다 더 효과적인가?
• RQ4 유효 랭크와 유효 희소성이 FGSM 및 PGD 공격 하에서 로버스트니와 어떻게 상관관계가 있는가?
• RQ5 저랭크 및 희소 가중치 구조는 얼마나 적은 정도로 전체 적대적 훈련이 달성한 로버스트니를 재현할 수 있는가?

주요 결과

• 적대적 훈련은 유효 랭크와 유효 희소성의 감소를 통해 저랭크 및 희소 가중치 구조를 자연스럽게 유도한다.
• 합성곱 레이어에 핵노름 정규화를 적용하면 PGD 및 FGSM 공격에 대한 로버스트니가 뚜렷이 향상된다.
• 핵노름과 L1 페널티를 동시에 적용하는 공동 정규화 전략은 개별 정규화보다 더 나은 로버스트니를 제공하며, 특히 합성곱 레이어에서 두드러진다.
• L1 정규화만으로도 유효 랭크가 감소하는 것으로 나타나, 희소성과 저랭크 구조 간의 숨겨진 상호작용이 있음을 시사한다.
• 시각화 결과는 정규화 후 저랭크 및 희소 패턴이 가중치 행렬에 나타나며, 특히 첫 번째 및 두 번째 합성곱 필터에서 두드러진다.
• 비록 향상되었지만, 정규화된 모델의 로버스트니는 전체 적대적 훈련을 통해 훈련된 모델에 못 미치며, 추가적인 요소들이 작용하고 있음을 시사한다.