[논문 리뷰] One-Pixel Shortcut: on the Learning Preference of Deep Neural Networks

Shutong Wu, Sizhe Chen외 2명|arXiv (Cornell University)|2022. 05. 24.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

이 논문은 단일 픽셀을 각 이미지당 하나씩 조작하여 강력하고 눈에 띄지 않는 단서를 생성함으로써 딥 네ural 네트워크 성능을 떨어뜨리는 모델-프리 데이터 보호 방법인 One-Pixel Shortcut (OPS)을 제안한다. 기존의 전역 노이즈 기반 비학습 가능한 예제(ULE)와 달리, OPS는 적대적 훈련과 강력한 증강 기법에도 저항하여, 적대적 훈련 조건에서도 ResNet-18에서 테스트 정확도가 10.61%에 불과하며, 기존 방법들을 능가한다.

ABSTRACT

Unlearnable examples (ULEs) aim to protect data from unauthorized usage for training DNNs. Existing work adds $\ell_\infty$-bounded perturbations to the original sample so that the trained model generalizes poorly. Such perturbations, however, are easy to eliminate by adversarial training and data augmentations. In this paper, we resolve this problem from a novel perspective by perturbing only one pixel in each image. Interestingly, such a small modification could effectively degrade model accuracy to almost an untrained counterpart. Moreover, our produced \emph{One-Pixel Shortcut (OPS)} could not be erased by adversarial training and strong augmentations. To generate OPS, we perturb in-class images at the same position to the same target value that could mostly and stably deviate from all the original images. Since such generation is only based on images, OPS needs significantly less computation cost than the previous methods using DNN generators. Based on OPS, we introduce an unlearnable dataset called CIFAR-10-S, which is indistinguishable from CIFAR-10 by humans but induces the trained model to extremely low accuracy. Even under adversarial training, a ResNet-18 trained on CIFAR-10-S has only 10.61% accuracy, compared to 83.02% by the existing error-minimizing method.

연구 동기 및 목표

• 기존 비학습 가능한 예제(ULE)가 적대적 훈련과 데이터 증강에 취약한 점을 해결하기 위해 그 기반 학습 메커니즘 재고
• 딥 네럴 네트워크가 훈련 과정에서 매우 局소적이고 비의미적인 특징을 강력한 단서로 학습할 수 있는지 탐구
• 최소한의 계산 비용과 높은 눈에 띄지 않는 정도를 확보한 경량의 모델-프리 방법 개발
• EM 기반과 OPS 기반 변형을 조합한 새로운 벤치마크 데이터셋인 CIFAR-10-S 개발하여 복합 단서에 대한 모델 강건성 평가 가능
• 국소적 및 전역적 데이터 증강 간의 상호작용과 단서 학습 및 모델 일반화에 미치는 영향 탐색

제안 방법

• OPS는 모든 동일 클래스 이미지에서, 원래 픽셀 값에서의 편차를 최대화하면서 분산을 최소화하는 조건에서 고정된 목표 값으로 변형을 가할 수 있는 단일 픽셀 위치를 식별한다.
• 이 방법은 통계적 강건성 기반으로 픽셀 위치와 목표 값을 선택하며, 훈련 이미지 간의 이종 클래스 간 편차를 최대화하고 내부 클래스 분산을 최소화한다.
• 변형은 동일한 공간 위치와 값으로 모든 동일 클래스 이미지에 균일하게 적용되어 인간에게 눈에 띄지 않는 일관된 국소적 단서를 생성한다.
• 이 방법은 모델-프리이며 딥 네럴 네트워크 생성기 필요 없어, GAN 기반 또는 최적화 기반 ULE 방법에 비해 계산 비용을 크게 감소시킨다.
• 기존 EM 기반 ULE와 결합하여 앙상블 방법을 구성함으로써, 전역 및 국소 증강에 모두 저항하는 더 강력하고 내구성이 높은 비학습 가능한 예제를 생성한다.
• 다중 픽셀 환경으로의 확장도 수행되었으며, 픽셀 수를 늘릴수록 모델 정확도는 더욱 떨어지지만 눈에 띄는 정도는 감소한다.

실험 결과

연구 질문

• RQ1 단일 픽셀이 적대적 훈련 조건에서도 DNN 일반화 성능을 떨어뜨릴 수 있는 강력하고 안정적인 단서가 될 수 있는가?
• RQ2 적대적 훈련과 Cutout 등을 포함한 다양한 데이터 증강 전략 하에서 OPS의 효과성은 EM 기반 ULE와 비교해 어떻게 되는가?
• RQ3 EM 기반 ULE와 OPS를 조합하여 전역 및 국소 증강에 저항하는 비학습 가능한 예제를 만들 수 있는가?
• RQ4 단서 학습 맥락에서 변형된 픽셀 수가 모델 정확도 저하와 눈에 띄는 정도에 어떤 영향을 미치는가?
• RQ5 EM과 OPS 기반 변형을 조합하여 생성된 새로운 벤치마크 데이터셋인 CIFAR-10-S를 통해 복합 비의미적 단서에 대한 모델 강건성 평가가 가능한가?

주요 결과

• 적대적 훈련 조건에서도 CIFAR-10-S에 기반한 ResNet-18 모델의 테스트 정확도가 OPS로 10.61%로 떨어지며, 기존 EM 기반 방법의 83.02%에 비해 극적으로 낮아진다.
• OPS는 EM 기반 ULE보다 적대적 훈련에 훨씬 더 강건하며, 이러한 훈련으로 인해 기존 ULE는 효과적으로 무력화되지만 OPS는 여전히 효과를 유지한다.
• OPS는 Cutout과 같은 국소적 증강 기법에 매우 민감하며 정확도가 61.68%로 떨어지지만, RandAugment와 같은 전역적 증강 기법에는 덜 민감하여 71.18%의 정확도를 기록함으로써 서로 보완적인 행동을 보인다.
• EM과 OPS의 조합은 더 강력한 비학습 가능한 예제를 생성한다: RandAugment 조건에서 3픽셀 단서는 정확도를 34.66%로 떨어뜨리며, OPS 단독일 경우 71.18%에 그친다.
• OPS의 다중 픽셀 변형은 모델 정확도를 더욱 떨어뜨린다 — 3픽셀 OPS는 ResNet-18에서 9.74%의 테스트 정확도를 기록하여 확장성과 증가된 강건성을 입증한다.
• 제안된 CIFAR-10-S 데이터셋은 EM과 OPS 기반 변형을 조합하여 비의미적 단서 기반 표현에 대한 모델 강건성 평가를 위한 새로운 벤치마크로 기능한다.