[논문 리뷰] Robust Classification via a Single Diffusion Model

Huanran Chen, Yinpeng Dong외 5명|arXiv (Cornell University)|2023. 05. 24.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

이 논문은 사전에 훈련된 확산 모델에서 유도된 생성형 분류기인 강건한 확산 분류기(RDC)를 제안한다. RDC는 베이즈 정리에 따라 클래스 확률을 계산하기 전에 입력의 가능도를 최대화하여 적대적 강건성을 향상시킨다. CIFAR-10에서 ℓ∞ 노이즈(ε=8/255)에 대해 73.24%의 강건한 정확도를 달성하며, 이는 이전의 적대적 훈련 방법보다 2.34% 높고, 작업에 특화된 미세조정 없이도 예측 불가능한 위협 모델로의 일반화 성능이 뛰어나다.

ABSTRACT

Diffusion models have been applied to improve adversarial robustness of image classifiers by purifying the adversarial noises or generating realistic data for adversarial training. However, diffusion-based purification can be evaded by stronger adaptive attacks while adversarial training does not perform well under unseen threats, exhibiting inevitable limitations of these methods. To better harness the expressive power of diffusion models, this paper proposes Robust Diffusion Classifier (RDC), a generative classifier that is constructed from a pre-trained diffusion model to be adversarially robust. RDC first maximizes the data likelihood of a given input and then predicts the class probabilities of the optimized input using the conditional likelihood estimated by the diffusion model through Bayes' theorem. To further reduce the computational cost, we propose a new diffusion backbone called multi-head diffusion and develop efficient sampling strategies. As RDC does not require training on particular adversarial attacks, we demonstrate that it is more generalizable to defend against multiple unseen threats. In particular, RDC achieves $75.67\%$ robust accuracy against various $\ell_\infty$ norm-bounded adaptive attacks with $ε_\infty=8/255$ on CIFAR-10, surpassing the previous state-of-the-art adversarial training models by $+4.77\%$. The results highlight the potential of generative classifiers by employing pre-trained diffusion models for adversarial robustness compared with the commonly studied discriminative classifiers. Code is available at \url{https://github.com/huanranchen/DiffusionClassifier}.

연구 동기 및 목표

• 기존의 판별형 분류기를 기반으로 하는 적대적 강건성 기법들이 새로운 위협에 대해 실패하는 한계를 해결하기 위해.
• 특히 확산 모델을 포함한 생성 모델의 잠재력을 탐색하여 본질적으로 강건한 분류기를 구축하는 데 목적이 있다.
• 특정 적대적 공격에 대해 재훈련이 필요 없이 다양한 위협 모델 간의 일반화를 가능하게 하는 방어 메커니즘을 개발하기 위해.
• 확산 모델의 정확한 스코어 추정 및 데이터 분포 모델링 능력을 활용하여 강건성을 향상시키기 위해.

제안 방법

• 베이즈 정리에 따라 클래스 확률 p(y|x)를 추정하며, 사전 확률 p(y)와 사전에 훈련된 확산 모델로부터의 조건부 가능도 pθ(x|y)를 결합한다.
• 조건부 가능도는 각 클래스에 대해 다중 타임스텝에서의 노이즈 예측 손실을 계산하는 변분 하한을 통해 근사한다.
• 입력 이미지의 로그 가능도를 최대화하기 위해 반복적으로 입력을 높은 가능도 영역으로 향해 변형시키는 사전 최적화 단계를 수행한다.
• 강건성과 오분류 위험 간의 균형을 위해 η=8/255의 예산을 사용하는 모멘텀 기반 접근 방식을 적용한다.
• 성능 유지를 유지하면서 계산 비용을 줄이기 위해 타임스텝의 체계적 샘플링을 도입한다.
• 공격에서 정확한 기울기를 사용하여 기울기 가로막힘을 방지함으로써, 강건성이 방어적 가로막힘 때문이 아니라 모델의 본질적 성질 때문임을 확인한다.

실험 결과

연구 질문

• RQ1 사용자 정의 미세조정 없이도 사전에 훈련된 확산 모델을 직접 강건한 분류기로 재사용할 수 있는가?
• RQ2 입력의 가능도 최대화가 생성형 분류 프레임워크 내에서 강건성을 향상시키는가?
• RQ3 확산 기반 분류기는 판별형 적대적 훈련보다 예측 불가능한 위협 모델로의 일반화 성능이 뛰어나게 되는가?
• RQ4 최적화 예산과 샘플링 전략의 선택이 강건성과 정확도에 어떤 영향을 미치는가?
• RQ5 RDC의 강건성은 기울기 가로막힘 때문인가, 아니면 본질적인 모델 성질 때문인가?

주요 결과

• RDC는 CIFAR-10에서 ℓ∞ 노이즈(ε=8/255)에 대해 73.24%의 강건한 정확도를 달성하며, 이는 이전 최고 성능의 적대적 훈련 모델보다 2.34% 높다.
• 사전 최적화 단계에서 사용된 공격 유형 외의 새로운 위협 모델로도 잘 일반화되어, 최적화 과정에서 사용된 특정 공격 외의 위협에 대해서도 강건성이 유지됨을 보여준다.
• 가능도 최대화 사전 처리 단계는 입력을 높은 가능도 영역으로 이동시켜 적대적 노이즈에 대한 취약성을 감소시켜 강건성을 향상시킨다.
• BPDA 공격에서 RDC에 대해 73.24%의 강건한 정확도를 기록하여, 강건성이 기울기 가로막힘 때문이 아니라 모델의 내재적 성질에서 기인함을 확인한다.
• 가능도 최적화에 모멘텀을 사용할 경우, 비모멘텀 최적화 대비 약 7%포인트의 강건성 향상을 달성한다.
• 손실 계산을 위한 타임스텝 수 T′을 줄이면 청소화 정확도에는 거의 영향을 주지 않지만, 강건한 정확도는 크게 떨어지며, 이는 전체 또는 체계적인 타임스텝 커버리지의 중요성을 시사한다.