[논문 리뷰] PDA: Progressive Data Augmentation for General Robustness of Deep Neural Networks

Hang Yu, Aishan Liu외 6명|arXiv (Cornell University)|2019. 09. 11.

Adversarial Robustness in Machine Learning참고 문헌 29인용 수 9

한 줄 요약

이 논문은 훈련 중에 점진적으로 다양한 적대적 노이즈를 주입함으로써 딥 네ural 네트워크의 강건성을 향상시키는 Progressive Data Augmentation (PDA)를 제안한다. PDA는 이전 방법에 비해 CIFAR-10-C와 ImageNet-C에서 청소화 정확도를 약 ~3% 향상시키고 평균 손상 오차(mCE)를 약 ~10% 향상시켜 적대적 공격 및 손상 일반화에서 최신 기술 수준의 성능을 달성한다.

ABSTRACT

Adversarial images are designed to mislead deep neural networks (DNNs), attracting great attention in recent years. Although several defense strategies achieved encouraging robustness against adversarial samples, most of them fail to improve the robustness on common corruptions such as noise, blur, and weather/digital effects (e.g. frost, pixelate). To address this problem, we propose a simple yet effective method, named Progressive Data Augmentation (PDA), which enables general robustness of DNNs by progressively injecting diverse adversarial noises during training. In other words, DNNs trained with PDA are able to obtain more robustness against both adversarial attacks as well as common corruptions than the recent state-of-the-art methods. We also find that PDA is more efficient than prior arts and able to prevent accuracy drop on clean samples without being attacked. Furthermore, we theoretically show that PDA can control the perturbation bound and guarantee better generalization ability than existing work. Extensive experiments on many benchmarks such as CIFAR-10, SVHN, and ImageNet demonstrate that PDA significantly outperforms its counterparts in various experimental setups.

연구 동기 및 목표

• 적대적 공격과 일반적인 이미지 손상(예: 흐림, 노이즈, 기상 효과 등)을 동시에 방어할 수 있는 통합 프레임워크를 마련한다.
• 청소화 정확도를 포기하면서까지 강건성을 확보하는 기존 방어 방법의 한계를 극복한다.
• 다양한 교란 요소에 대한 강건성을 향상시키면서도 높은 청소화 정확도를 유지하는 훈련 전략을 개발한다.
• 기존 데이터 증강 방법과 비교해 PDA가 교란 범위를 제어하고 일반화 능력을 향상시킴을 이론적으로 분석한다.

제안 방법

• 반복적 교란 단계를 사용해 훈련 중에 점진적으로 다양한 적대적 노이즈를 생성하고 주입한다.
• 다양한 방향으로 노이즈 샘플을 점진적으로 집계하고 주입함으로써 데이터 다양성을 증가시킨다.
• 기울기 가로막힘 문제를 피하기 위해 표준 적대적 훈련에 적대적 노이즈 주입을 통합한다.
• 공간 주파수 기반 분석을 적용해 다양한 주파수에서의 강건성을 평가한다.
• 청소화, 적대적, 손상된 샘플을 혼합한 테스트 프로토콜을 적용해 일반화 능력을 공정하게 평가한다.
• 기울기 시각화를 통해 인간의 시각 인지와의 일치도를 평가함으로써 강건성 향상을 확인한다.

실험 결과

연구 질문

• RQ1 통합적인 데이터 증강 전략이 적대적 공격과 일반적인 이미지 손상에 대한 강건성을 동시에 향상시킬 수 있는가?
• RQ2 훈련 중에 점진적인 노이즈 주입이 청소화 정확도를 떨어뜨리지 않고 일반화 능력을 향상시키는가?
• RQ3 PDA는 PGD 및 GDA와 비교해 다양한 손상 유형과 적대적 공격에 대해 얼마나 강건한가?
• RQ4 PDA는 모델 기울기의 인간 시각 인지와의 일치도를 얼마나 향상시키는가?
• RQ5 강건성, 정확도, 계산 비용을 균형 잡는 데 최적의 점진적 반복 수는 얼마인가?

주요 결과

• CIFAR-10에서 PDA는 PGD에 비해 약 ~3% 높은 청소화 정확도를 달성하면서도 유사한 적대적 강건성을 유지한다.
• CIFAR-10-C와 ImageNet-C에서 PDA는 GDA에 비해 평균 손상 오차(mCE)를 약 10% 감소시킨다.
• 청소화, 적대적, 손상된 이미지를 혼합한 혼합 테스트 시나리오에서 PDA는 CIFAR-10에서 80.48%의 정확도를 달성하여 PGD 및 GDA를 능가한다.
• PDA로 훈련된 모델은 인간의 시각 인지와 가장 높은 기울기 일치도를 보이며, 인지적 강건성 향상을 시사한다.
• 최적의 점진적 반복 수는 k=3이며, 이는 강건성, 정확도, 훈련 효율성을 균형 잡는 데 최적이다.
• 이론적 분석을 통해 PDA가 기존 방법과 비교해 교란 범위를 제어하고 일반화 능력을 향상시킴을 확인했다.