[논문 리뷰] Towards Robust Training of Neural Networks by Regularizing Adversarial Gradients

Fuxun Yu, Zirui Xu외 3명|arXiv (Cornell University)|2018. 05. 23.

Adversarial Robustness in Machine Learning참고 문헌 14인용 수 7

한 줄 요약

이 논문은 훈련 중에 적대적 예제가 필요 없이, 적대적 기울기를 기울기 손실 함수와 이중 역전파를 통해 정규화하는 새로운 강건한 훈련 방법을 제안한다. 이는 FGSM, C&W 및 전이 가능한 공격에 대해 신경망의 강건성을 크게 향상시키며, 훈련 과정에서의 추가 비용을 최소화한다. 이 방법은 최소한의 훈련 오버헤드로 최신 기술 수준의 정확도 향상을 달성한다.

ABSTRACT

In recent years, neural networks have demonstrated outstanding effectiveness in a large amount of applications.However, recent works have shown that neural networks are susceptible to adversarial examples, indicating possible flaws intrinsic to the network structures. To address this problem and improve the robustness of neural networks, we investigate the fundamental mechanisms behind adversarial examples and propose a novel robust training method via regulating adversarial gradients. The regulation effectively squeezes the adversarial gradients of neural networks and significantly increases the difficulty of adversarial example generation.Without any adversarial example involved, the robust training method could generate naturally robust networks, which are near-immune to various types of adversarial examples. Experiments show the naturally robust networks can achieve optimal accuracy against Fast Gradient Sign Method (FGSM) and C\&W attacks on MNIST, Cifar10, and Google Speech Command dataset. Moreover, our proposed method also provides neural networks with consistent robustness against transferable attacks.

연구 동기 및 목표

• 신경망의 적대적 예제에 대한 취약성을 줄이기 위해 근본 원인인 작은 편향에 의해 증폭되는 큰 일阶 기울기 원인을 다루기 위해.
• 훈련 중에 적대적 예제에 의존하지 않고도 강건성을 향상시키는 훈련 방법을 개발하기 위해.
• 일반 분류 성능를 유지하면서 적대적 기울기만을 특별히 타겟으로 삼는 기울기 정규화자를 설계하기 위해.
• 종단 간 강건한 훈련을 통해 화이트박스 및 전이 가능한 적대적 공격에 대한 저항력을 향상시키기 위해.

제안 방법

• 특히 적대적 방향과 관련된 큰 일阶 기울기를 방지하기 위해 기울기 손실 함수를 도입한다.
• 네트워크 로짓과 레이블 정보를 활용하여 일반 기울기와 적대적 기울기를 구별하는 로짓 기반 기울기 정규화자를 설계한다.
• 기울기 손실을 위한 이阶 기울기를 계산하기 위해 이중 역전파를 활용하여 네트워크 가중치와 기울기 정규화를 함께 최적화한다.
• 표준 크로스 엔트로피 손실과 기울기 정규화 손실을 통합된 훈련 과정에 결합하여 정확도를 유지하면서 강건성을 향상시킨다.
• 단 한 번의 추가 역전파만으로 매 스텝마다 표준 훈련에 적용하여 계산 오버헤드를 최소화한다.
• 기존의 네트워크인 AlexNet과 VGG를 몇 에포크 동안 정규화자를 적용하여 미세조정하여 강건성을 향상시킨다.

실험 결과

연구 질문

• RQ1 신경망에서 일阶 기울기의 크기를 직접 조정함으로써 적대적 강건성을 향상시킬 수 있는가?
• RQ2 일반 정확도를 떨어뜨리지 않으면서도 적대적 기울기만을 선택적으로 억제할 수 있는 기울기 정규화자를 어떻게 설계할 수 있는가?
• RQ3 기울기 정규화는 화이트박스 및 전이 가능한 적대적 공격에 대해 강건성을 향상시키는가?
• RQ4 훈련 중에 적대적 예제를 생성하지 않고도 강건성을 달성할 수 있는가? 이는 훈련 비용을 줄이는 데 기여하는가?
• RQ5 이러한 방법은 Min-Max 적대적 훈련에 비해 효율성과 효과성 면에서 어떻게 비교되는가?

주요 결과

• 제안된 방법은 MNIST에서 FGSM 공격에 대해 30%–91%의 정확도를 달성했으며, CIFAR10에서는 26%–53%, Google Speech Command 데이터셋에서는 16%–55%의 정확도를 기록했다.
• 강력한 C&W 공격에 대해서는, MNIST에서 정확도를 거의 0에서 32%–92%로 회복했고, CIFAR10에서는 17%–48%, Google Speech Command에서는 9%–48%의 정확도를 확보했다.
• 전이 가능한 공격에 대해서는, MNIST에서 최대 50%의 정확도, CIFAR10에서는 80%, Google Speech Command에서는 40%의 정확도를 기록하여 표준 모델보다 크게 뛰어났다.
• CIFAR10에서 10,000 스텝 훈련에 12분이 소요되었으며, Min-Max 훈련의 1시간 16분 이상보다 훨씬 적은 시간이 소요되었다.
• 네트워크의 가중치 분포가 더 낮은 분산과 평균 값으로 수축된 것으로 나타나, 정규화자가 더 작은, 더 안정적인 가중치를 촉진하는 것으로 보인다.
• 이 방법은 강건성과 훈련 효율성 면에서 최신 기술 수준의 기울기 정규화 기법과 Min-Max 훈련을 모두 능가한다.