[논문 리뷰] Robust Unlearnable Examples: Protecting Data Against Adversarial Learning

Shaopeng Fu, Fengxiang He외 3명|arXiv (Cornell University)|2022. 03. 28.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

이 논문은 적대적 훈련에 저항하는 비가시적이고 학습이 불가능한 예제를 생성하는 새로운 방어 메커니즘인 강력한 오차 최소화 노이즈를 제안한다. 전이에 대한 기대값(EOT)을 고려한 min-min-max 최적화를 통해 적대적 훈련 손실을 최소화함으로써, 모델이 보호된 데이터를 학습하는 것을 효과적으로 억제한다. 이는 다양한 데이터셋과 아키텍처에서 기존의 오차 최소화 노이즈보다 우수한 성능을 보이며, 적대적 훈련 하에서의 방어 성능을 향상시킨다.

ABSTRACT

The tremendous amount of accessible data in cyberspace face the risk of being unauthorized used for training deep learning models. To address this concern, methods are proposed to make data unlearnable for deep learning models by adding a type of error-minimizing noise. However, such conferred unlearnability is found fragile to adversarial training. In this paper, we design new methods to generate robust unlearnable examples that are protected from adversarial training. We first find that the vanilla error-minimizing noise, which suppresses the informative knowledge of data via minimizing the corresponding training loss, could not effectively minimize the adversarial training loss. This explains the vulnerability of error-minimizing noise in adversarial training. Based on the observation, robust error-minimizing noise is then introduced to reduce the adversarial training loss. Experiments show that the unlearnability brought by robust error-minimizing noise can effectively protect data from adversarial training in various scenarios. The code is available at \url{https://github.com/fshp971/robust-unlearnable-examples}.

연구 동기 및 목표

• 기존의 학습이 불가능한 예제가 적대적 훈련에 취약하여 데이터 보호 기능이 약화되는 문제를 해결하기 위해.
• 오차 최소화 노이즈가 적대적 훈련 하에서 실패하는 이유를 분석하고, 특히 적대적 훈련 손실 억제가 효과적으로 이루어지지 않는 이유를 밝히기 위해.
• 적대적 손실 최소화를 통해 학습이 불가능한 성질을 유지할 수 있도록 새로운 노이즈 생성 방법을 설계하기 위해.
• 다양한 모델과 데이터셋에서 제안된 방법의 강건성을 실증적으로 검증하기 위해.
• 적대적 미세조정에 저항하는 안정적이고 효과적인 학습이 불가능한 예제 생성 프레임워크를 구축하기 위해.

제안 방법

• 강력한 오차 최소화 노이즈 생성기를 훈련하기 위해 min-min-max 최적화 프레임워크를 제안하며, 내부 최소화는 적대적 훈련 손실을 대상으로 한다.
• 표준 훈련 손실이 아닌 적대적 손실을 최소화함으로써 학습 가능한 지식을 억제하는 방식으로, 강력한 오차 최소화 노이즈를 방어 메커니즘으로 도입한다.
• 전이에 대한 기대값(EOT) 기법을 활용하여 노이즈 생성의 안정성을 높이고, 적대적 변형에 대한 일반화 성능을 향상시킨다.
• 청정 데이터에 추가되었을 때도 눈에 띄지 않는 노이즈를 생성하는 생성망을 사용하며, 이로 인해 적대적 훈련 하에서도 예제가 학습이 불가능해지도록 한다.
• 두 단계 훈련 프로세스를 사용하여 노이즈 생성기를 훈련한다: 첫 번째 단계는 적대적 손실 최소화를 위한 최적화, 두 번째 단계는 EOT를 적용하여 강건성을 향상시키는 것이다.
• CIFAR-10과 CIFAR-100에 이 방법을 적용하여, 다양한 아키텍처(ResNet, VGG, DenseNet, Wide ResNet)와 다양한 적대적 편향 반경(ρa) 하에서 성능을 평가한다.

실험 결과

연구 질문

• RQ1 왜 오차 최소화 노이즈는 적대적 훈련 하에서 데이터 보호에 실패하는가?
• RQ2 모델이 적대적으로 훈련될 경우 학습이 불가능한 예제는 여전히 효과가 있는가?
• RQ3 적대적 훈련 손실을 최소화하면서도 데이터의 비가시성을 유지할 수 있는 노이즈 유형을 설계할 수 있는가?
• RQ4 EOT 기법은 생성된 학습이 불가능한 예제의 안정성과 강건성에 어떤 영향을 미치는가?
• RQ5 강력한 오차 최소화 노이즈는 다양한 모델 아키텍처와 데이터셋 간에 일반화되는가?

주요 결과

• 강력한 오차 최소화 노이즈(REM)는 적대적 훈련 하에서도 강력한 학습이 불가능성을 유지하며, ρa = 4/255일 때 CIFAR-10에서 테스트 정확도 91.76%를 기록했고, 표준 오차 최소화 노이즈는 27.09%에 그친다.
• CIFAR-100에서는 ρa = 4/255일 때 REM이 63.79%의 테스트 정확도를 달성했으며, 오차 최소화 노이즈는 27.10%에 그쳐 상당한 성능 우월성을 보였다.
• EOT 기법은 필수적이다: EOT 없이 사용할 경우 노이즈는 보호 기능을 하지 못하며, CIFAR-10에서 적대적 훈련 하에선 테스트 정확도가 18.55%로 급격히 떨어진다.
• REM은 ResNet-18, VGG-16, ResNet-50, DenseNet-121, Wide ResNet-34-10 등 다양한 아키텍처에서 강건성을 보이며, CIFAR-10과 CIFAR-100 양쪽 모두에서 성능을 유지한다.
• 방어적 편향 반경 ρu를 16/255로 늘여도 메서드는 여전히 효과적이며, 강력한 일반화 능력을 보여준다.
• DenseNet-121는 적대적 일반화에서 내재된 한계로 인해 보호 성능가 낮아졌지만, 여전히 기준 방법보다 뛰어난 성능을 보였다.