[논문 리뷰] Robust Learning Meets Generative Models: Can Proxy Distributions Improve Adversarial Robustness?

Vikash Sehwag, Saeed Mahloujifar외 5명|arXiv (Cornell University)|2021. 04. 19.

Adversarial Robustness in Machine Learning인용 수 31

한 줄 요약

본 논문은 조건부 Wasserstein 거리(cwd)를 사용하여 프록시(합성) 분포에서 실제 데이터로의 로버스트니스 전이를 형식화하고, 확산 기반 생성기가 PORT(프록시 데이터로 강건 학습)에서 사용될 때 적대적 로버스트니스와 인증 가능한 로버스트니스를 향상시킨다고 보인다.

ABSTRACT

While additional training data improves the robustness of deep neural networks against adversarial examples, it presents the challenge of curating a large number of specific real-world samples. We circumvent this challenge by using additional data from proxy distributions learned by advanced generative models. We first seek to formally understand the transfer of robustness from classifiers trained on proxy distributions to the real data distribution. We prove that the difference between the robustness of a classifier on the two distributions is upper bounded by the conditional Wasserstein distance between them. Next we use proxy distributions to significantly improve the performance of adversarial training on five different datasets. For example, we improve robust accuracy by up to 7.5% and 6.7% in $\\ell_{\\infty}$ and $\\ell_2$ threat model over baselines that are not using proxy distributions on the CIFAR-10 dataset. We also improve certified robust accuracy by 7.6% on the CIFAR-10 dataset. We further demonstrate that different generative models bring a disparate improvement in the performance in robust training. We propose a robust discrimination approach to characterize the impact of individual generative models and further provide a deeper understanding of why current state-of-the-art in diffusion-based generative models are a better choice for proxy distribution than generative adversarial networks.

연구 동기 및 목표

• 프록시 분포(합성 데이터)를 사용하여 더 많은 실제 데이터를 수집하지 않고도 적대적 로버스트니스를 개선하기 위해 동기를 부여하고 형식화한다.
• 프록시 분포와 실제 데이터 분포 간의 조건부 Wasserstein 거리 사이의 관계를 통해 로버스트니스 전이가 어떻게 발생하는지 경계를 도출한다.
• 로버스트니스 전이의 순위를 매길 수 있는 Practical surrogate 지표로 ARC를 제안한다.
• 실제 데이터와 합성 데이터를 결합한 PORT를 개발하여 클린 정확도와 로버스트 정확도 모두를 향상시키는 강건 학습 프레임워크를 제시한다.

제안 방법

• 평균 로버스트니스를 정의하고 로버스트니스 전이를 경험적 로버스트니스, 일반화 페널티, 분포-이동 페널티로 분해한다.
• 실제 분포와 프록시 분포 간의 분포-이동 페널티를 경계하기 위해 조건부 Wasserstein 거리(cwd)를 도입한다.
• cwd와의 관계를 보여주는 PRA ARC(robust discrimination accuracy vs perturbation 곡선 아래 면적)로 실용적 대리 측정치를 제안하고 cwd와의 관계(cwd ≥ 4*ARC)를 보인다.
• 실제 데이터와 프록시 데이터의 손실을 γ라는 혼합 매개변수로 합치고, 적대적 학습 목표(PGD 또는 무작위 스무딩)를 통해 PORT를 개발한다.
• 적대적 섭동하에서 분포 간 근접성을 측정하기 위해 강건 구분기를 도입하고 합성 샘플을 선택하기 위한 합성 점수(synthetic-score)를 정의한다.
• 다섯 개의 데이터 세트를 통해 확산 기반 프록시가 로버스트니스 전이에서 GAN보다 우수하다는 것을 보여준다.

실험 결과

연구 질문

• RQ1 Q1: 프록시 분포에서 실제 데이터 분포로의 로버스트니스 전이는 언제 발생하는가?
• RQ2 Q2: 프록시 분포가 실제 데이터 세트의 적대적 로버스트니스를 향상시키는 정도는 얼마나 되는가?
• RQ3 Q3: 로버스트 학습에 가장 큰 도움이 될 프록시 분포를 예측하는 지표를 개발할 수 있는가?
• RQ4 Q4: 확산 모델과 GAN 등 다양한 생성 모델은 로버스트니스 전이와 인증 가능한 로버스트니스에 어떤 영향을 미치는가?

주요 결과

• 프록시 분포는 여러 데이터 세트와 위협 모델에서 적대적 로버스트니스와 인증된 로버스트니스를 크게 향상시킬 수 있다.
• 로버스트 정확도 상승은 ℓ∞에서 최대 7.5%, ℓ2에서 6.7%에 이르며 CIFAR-10의 인증된 로버스트니스는 7.6% 개선된다.
• 확산 기반 생성기가 로버스트니스 전이를 위한 프록시 분포로서 GAN보다 우수하다.
• ARC는 로버스트니스 전이 순위를 효과적으로 예측하고 cwd와 정렬되며 로버스트니스 전이를 위한 프록시로의 FID/IS보다 우수한 대리 척도ROLE을 보여준다.
• 합성 데이터의 적응적 샘플링은 로버스트니스에 추가적인 작은 이득을 준다.
• 합성 데이터를 활용한 PORT는 실제 샘플이 더 적은 경우에도 기본 로버스트니스와 비교해 뒤처지지 않거나 더 강건한 클린 및 로버스트 정확도를 달성할 수 있다.