[논문 리뷰] Towards Deep Neural Network Architectures Robust to Adversarial Examples

Shixiang Gu, Luca Rigazio|arXiv (Cornell University)|2014. 12. 11.

Adversarial Robustness in Machine Learning참고 문헌 19인용 수 632

한 줄 요약

이 논문은 적대적 예제에 대한 강건성을 향상시키기 위해 계약형 오토인코더에서 영감을 얻은 부드러움 페널티를 통합한 새로운 학습 절차인 딥 컨트랙티브 네트워크(Deep Contractive Networks, DCNs)를 제안한다. 소규모 입력 변형에 대한 계층별 불변성을 강제화함으로써 DCNs는 적대적 예제를 생성하기 위해 필요한 최소 왜곡을 증가시킨다 — 표준 네트워크 대비 약 25–30% 높은 적대적 왜곡을 기록하며, 청소된 데이터에 대한 높은 테스트 정확도를 유지한다.

ABSTRACT

Recent work has shown deep neural networks (DNNs) to be highly susceptible to well-designed, small perturbations at the input layer, or so-called adversarial examples. Taking images as an example, such distortions are often imperceptible, but can result in 100% mis-classification for a state of the art DNN. We study the structure of adversarial examples and explore network topology, pre-processing and training strategies to improve the robustness of DNNs. We perform various experiments to assess the removability of adversarial examples by corrupting with additional noise and pre-processing with denoising autoencoders (DAEs). We find that DAEs can remove substantial amounts of the adversarial noise. How- ever, when stacking the DAE with the original DNN, the resulting network can again be attacked by new adversarial examples with even smaller distortion. As a solution, we propose Deep Contractive Network, a model with a new end-to-end training procedure that includes a smoothness penalty inspired by the contractive autoencoder (CAE). This increases the network robustness to adversarial examples, without a significant performance penalty.

연구 동기 및 목표

• 소규모이자 인식하기 어려운 입력 변형으로 인해 잘못 분류되는, 적대적 예제로 알려진 딥 신경망(DNNs)의 취약성을 해결하기 위해.
• 노이즈 제거 기법인 노이즈 제거 오토인코더(DAEs)를 통해 적대적 예제를 효과적으로 제거할 수 있는지, 그리고 이러한 제거가 전체적인 강건성 향상에 기여하는지 조사하기 위해.
• 적대적 취약성의 근본 원인이 네트워크 아키텍처가 아니라 학습 절차에 있음을 탐색하고, 국소적 불변성을 강제하는 학습 목표를 설계하기 위해.
• 각 계층에 계약형 페널티를 통합하여 훈련 데이터 주변의 강건하고 평탄한 표현을 명시적으로 학습하는 새로운 엔드 투 엔드 학습 프레임워크를 개발하기 위해.
• 계약형 페널티를 데이터 증강(예: 가우시안 노이즈)과 조합했을 때 청소된 정확도를 희생시키지 않고도 적대적 공격에 대한 강건성이 더욱 향상되는지 평가하기 위해.

제안 방법

• 딥 신경망(DNN)의 각 은닉 계층에 계약형 오토인코더(CAE)에서 영감을 얻은 부드러움 페널티를 적용하는 새로운 학습 절차인 딥 컨트랙티브 네트워크(DCNs)를 제안한다.
• 페널티는 입력에 대한 은닉 표현의 야코비안의 프로베니우스 노름으로 계산되며, 이는 훈련 데이터 포인트 주변에서 평탄하고 불변한 표현을 학습하도록 네트워크를 유도한다.
• 이 방법은 표준 백프로파게이션 과정에 계약형 페널티를 통합하여 엔드 투 엔드 학습을 가능하게 하며, 청소된 데이터에 대한 높은 분류 정확도를 유지한다.
• 소규모 입력 변형에 민감하지 않도록 각 은닉 계층을 정규화하는 계층별 계약형 목표를 적용함으로써, 네트워크가 적대적 노이즈에 더 강건해지도록 한다.
• 표준 네트워크와 계약형 페널티가 포함된 모델을 각각 훈련시켜 L2 왜곡을 기반으로 한 적대적 강건성 비교를 통해 접근법을 검증한다.
• 추가로 훈련 중에 가우시안 입력 노이즈를 DCN 프레임워크에 통합하여 적대적 공격에 성공하기 위해 필요한 최소 왜곡을 더욱 증가시킨다.

실험 결과

연구 질문

• RQ1 노이즈 제거 오토인코더(DAEs)를 사용하여 적대적 노이즈를 효과적으로 제거할 수 있으며, 이는 전체 네트워크의 강건성 향상으로 이어지는가?
• RQ2 딥 신경망(DNNs)의 적대적 예제에 대한 민감성은 아키텍처 설계 때문이 아니라 학습 目표 함수의 결함 때문인가?
• RQ3 각 계층에 계약형 페널티를 적용하면 청소된 정확도를 떨어뜨리지 않고도 적대적 변형에 대한 네트워크의 강건성이 향상되는가?
• RQ4 표준 DNN 대비 딥 컨트랙티브 네트워크(DCN)를 사용할 경우, 적대적 예제의 최소 L2 왜곡은 어떻게 변화하는가?
• RQ5 계약형 페널티를 데이터 증강(예: 가우시안 노이즈)과 조합하면 모델의 적대적 공격에 대한 강건성이 더욱 향상되는가?

주요 결과

• 노이즈 제거 오토인코더(DAEs)는 입력에서 상당 부분의 적대적 노이즈를 효과적으로 제거할 수 있으나, 그 결과로 생성된 스태킹된 DAE-DNN 모델은 여전히 더 작은 새로운 적대적 예제에 취약하다.
• 딥 컨트랙티브 네트워크(DCN) 모델은 표준 네트워크 대비 평균 L2 왜곡을 25–30% 증가시킨다: 예를 들어 N100-100-10 모델에서 0.084에서 0.107로 증가한다.
• DCNs는 청소된 테스트 정확도를 높게 유지하면서도(예: CIFAR-10에서 0.9% 오차), 동시에 적대적 왜곡을 증가시켜 성능의 상충 없이 강건성을 향상시킬 수 있음을 보여준다.
• 추가로 가우시안 노이즈 증강을 적용한 DCN 모델(DCN+GN,L1,σ=0.1)은 표준 네트워크와 계약형 페널티 없이 노이즈 증강된 모델보다 뛰어난 성능을 보이며, 적대적 왜곡을 0.108까지 확보한다.
• 계약형 페널티는 네트워크 전반에 걸쳐 불변성을 효과적으로 전파하며, 여러 아키텍처(예: N200-200-10, ConvNet)에서 일관된 적대적 왜곡 증가가 관찰됨으로써 이를 뒷받침한다.
• 결과는 적대적 취약성이 주로 네트워크 아키텍처가 아니라 학습 목표에 기인해 있으며, 계약형 페널티를 통한 명시적 불변성 학습이 강건성 향상의 실현 가능한 길임을 시사한다.