[논문 리뷰] Random Smoothing Might be Unable to Certify $\ell_\infty$ Robustness for High-Dimensional Images

Avrim Blum, Travis Dick외 2명|arXiv (Cornell University)|2020. 02. 10.

Adversarial Robustness in Machine Learning참고 문헌 26인용 수 15

한 줄 요약

이 논문은 고차원 이미지에서 $\infty$-노름 위협 모델 하에서 임의의 노이즈 분포를 사용할 경우 랜덤 스무딩이 비자명한 $\varepsilon$-로버스트성을 달성할 수 없음을 보여준다. 이는 $p>2$일 때 각 픽셀의 노이즈 분산이 $\Omega(d^{1-2/p}\epsilon^2(1-\delta)/\delta^2)$의 비율로 차원 $d$에 따라 증가하기 때문이다. 이는 $p=\infty$일 경우 노이즈가 신호를 압도하여 실질적으로 스무딩 분류기가 비효율적이고 무의미해짐을 의미한다.

ABSTRACT

We show a hardness result for random smoothing to achieve certified adversarial robustness against attacks in the $\ell_p$ ball of radius $ε$ when $p>2$. Although random smoothing has been well understood for the $\ell_2$ case using the Gaussian distribution, much remains unknown concerning the existence of a noise distribution that works for the case of $p>2$. This has been posed as an open problem by Cohen et al. (2019) and includes many significant paradigms such as the $\ell_\infty$ threat model. In this work, we show that any noise distribution $\mathcal{D}$ over $\mathbb{R}^d$ that provides $\ell_p$ robustness for all base classifiers with $p>2$ must satisfy $\mathbb{E}η_i^2=Ω(d^{1-2/p}ε^2(1-δ)/δ^2)$ for 99% of the features (pixels) of vector $η\sim\mathcal{D}$, where $ε$ is the robust radius and $δ$ is the score gap between the highest-scored class and the runner-up. Therefore, for high-dimensional images with pixel values bounded in $[0,255]$, the required noise will eventually dominate the useful information in the images, leading to trivial smoothed classifiers.

연구 동기 및 목표

• 고차원 이미지에서 $p>2$일 때 $\ell_p$-노름 공격에 대해 랜덤 스무딩이 인증된 로버스트성을 달성할 수 있는지 조사하기.
• 픽셀 값이 $[0,255]$ 범위에 제한된 고차원 환경에서 랜덤 스무딩의 근본적 한계를 규명하기.
• $p>2$일 때 $\ell_p$-로버스트성 인증을 위해 필요한 노이즈 분산의 하한을 유도하여 $p=2$에서의 전이 현상(Phase transition)을 보여주기.
• Cohen 등(2019)이 제기한, $p>2$에 대해 $\ell_p$-로버스트성을 달성할 수 있는 노이즈 분포의 존재성에 관한 열린 문제를 해결하기.

제안 방법

• $p>2$일 때 $\ell_p$-로버스트성에 대해 스무딩 분포 $\mathcal{D}$의 노이즈 성분 $\eta_i$의 두 번째 모멘트 $\mathbb{E}[\eta_i^2]$에 대한 하한을 유도한다.
• $\|v\|_p \leq \epsilon$ 인 경우 $\mathcal{D}$와 $\mathcal{D}+v$ 사이의 총 변동 거리(total variation distance)를 사용하여 로버스트성 보장을 정량화한다.
• 마르코프 부등식과 총 변동 거리의 성질을 적용하여, 편향 방향에 따른 노이즈 투영의 기대 절대값을 바ounds한다.
• 차원이 높을수록 방향에 민감한 특성을 활용하기 위해 $\|v_i\|_p = \epsilon$ 이고 $\|v_i\|_2 = \epsilon \cdot b^{1/2 - 1/p}$ 를 만족하는 $b > d/2$개의 벡터 $v_i$를 구성한다.
• 직교 투영과 $\ell_1$-$\ell_2$ 노름 등가성을 사용하여 노이즈의 기대 $\ell_2$-노름과 $\mathbb{E}[|v_i^T \eta|/\|v_i\|_2]$의 하한을 연결한다.
• $\mathbb{E}[\|\eta\|_2] \geq \frac{\epsilon d^{1-1/p}}{24} \cdot \frac{1-\delta}{\delta}$ 를 증명하고, 이로부터 99%의 특성에 대해 $\mathbb{E}[\eta_i^2] = \Omega(d^{1-2/p}\epsilon^2(1-\delta)/\delta^2)$ 를 도출한다.

실험 결과

연구 질문

• RQ1 임의의 노이즈 분포를 사용할 때 $p>2$에 대해 랜덤 스무딩이 인증된 $\ell_p$-로버스트성을 달성할 수 있는가?
• RQ2 $p>2$일 때 $\ell_p$-노름 편향에 대해 $\varepsilon$-로버스트성을 달성하기 위해 필요한 최소 노이즈 분산은 각 픽셀당 얼마인가?
• RQ3 필요한 노이즈가 차원 $d$에 따라 증가함에 따라 스무딩 분류기가 고차원 이미지에서 실용적으로 불가능해지는가?
• RQ4 고차원 환경에서 $\ell_\infty$-로버스트성을 랜덤 스무딩으로 달성하는 데 근본적인 장벽이 존재하는가?
• RQ5 $p=2$에서의 전이 현상은 $\ell_2$-스무딩이 $\ell_p$-노름 중에서 유일하게 실현 가능한가를 의미하는가?

주요 결과

• $p>2$일 때 각 픽셀의 노이즈 분산이 $\Omega(d^{1-2/p}\epsilon^2(1-\delta)/\delta^2)$ 비율로 증가하며, 이는 $d$에 따라 증가함을 보여준다.
• $p=\infty$일 경우 노이즈 분산이 $\Omega(d^{1-2/\infty}\epsilon^2(1-\delta)/\delta^2) = \Omega(d\epsilon^2(1-\delta)/\delta^2)$ 로 증가하여 고차원 이미지에서 신호를 지배하게 된다.
• $\mathbb{E}[\|\eta\|_2]$에 대한 하한은 $\frac{\epsilon d^{1-1/p}}{24} \cdot \frac{1-\delta}{\delta}$ 이며, 이는 $p>2$일 때 노이즈 크기가 $d$에 따라 증가함을 시사한다.
• 이 결과는 $\ell_\infty$-로버스트성에 대해 랜덤 스무딩이 실질적으로 효과가 없어지며, 노이즈가 입력 특징을 압도하기 때문에 성립하지 않음을 의미한다.
• $p=2$에서의 전이 현상은 $\ell_2$-스무딩이 일정한 노이즈 분산을 사용할 수 있는 반면, $p>2$일 경우 노이즈가 증가해야 하므로 고차원 데이터에 적합하지 않음을 의미한다.
• 논문은 열린 문제를 해결하여, 고차원 이미지 환경에서 $\ell_\infty$-로버스트성을 달성할 수 있는 노이즈 분포가 존재하지 않음을 보여준다.