[논문 리뷰] Understanding Adversarial Robustness: The Trade-off between Minimum and Average Margin

Kaiwen Wu, Yaoliang Yu|arXiv (Cornell University)|2019. 07. 26.

Adversarial Robustness in Machine Learning참고 문헌 40인용 수 8

한 줄 요약

이 논문은 딥러닝에서 근본적인 상충 관계를 규명한다: 표준 학습은 높은 정확도를 위해 최소 마진을 최대화하지만, 평균 마진을 감소시켜 적대적 공격에 취약하게 만든다. 이를 해결하기 위해 저자들은 평균 마진을 명시적으로 증진하면서 피셔 일致성을 유지하는 새로운 정규화 항을 제안하며, 정확도를 희생시키지 않고 강건성을 크게 향상시킨다. 이는 다양한 데이터셋과 모델을 통해 검증되었다.

ABSTRACT

Deep models, while being extremely versatile and accurate, are vulnerable to adversarial attacks: slight perturbations that are imperceptible to humans can completely flip the prediction of deep models. Many attack and defense mechanisms have been proposed, although a satisfying solution still largely remains elusive. In this work, we give strong evidence that during training, deep models maximize the minimum margin in order to achieve high accuracy, but at the same time decrease the \emph{average} margin hence hurting robustness. Our empirical results highlight an intrinsic trade-off between accuracy and robustness for current deep model training. To further address this issue, we propose a new regularizer to explicitly promote average margin, and we verify through extensive experiments that it does lead to better robustness. Our regularized objective remains Fisher-consistent, hence asymptotically can still recover the Bayes optimal classifier.

연구 동기 및 목표

• 딥 네ural 네트워크의 적대적 취약성의 근본 원인을 조사하며, 특히 모델 강건성에 영향을 주는 마진 분포의 역할을 규명한다.
• 표준 학습 과정에서 정확도를 위해 최소 마진을 최대화하는 것과 강건성을 위해 평균 마진을 최소화하는 내재된 상충 관계를 규명한다.
• 베이즈 최적 분류기로의 점근적 수렴을 보장하면서도 평균 마진을 명시적으로 증진하는 새로운 학습 목표를 개발한다.
• 다양한 아키텍처와 데이터셋을 통해 제안된 정규화 항이 적대적 강건성을 향상시킨다는 것을 실증적으로 검증한다.
• 계산 비용이 높은 적대적 학습이나 복잡한 방어 기법에 의존하지 않고도 강건성을 향상시킬 수 있음을 보여준다.

제안 방법

• 학습 중 평균 마진을 명시적으로 최대화하는 새로운 정규화 항을 제안하며, 이는 모든 학습 예제에 대한 마진의 평균으로 정의된다.
• 표준 교차 엔트로피 손실 함수에 평균 마진 정규화 항을 통합하여 원래 최적화 목표의 피셔 일치성을 유지한다.
• 정규화된 목표함수를 표준 분류 손실과 평균 마진을 크게 만들도록 유도하는 페널티 항의 조합으로 설정한다.
• MNIST 및 CIFAR-10 데이터셋에서 다층 퍼셉트론(MLP)과 컨볼루션 네트워크(CNN)를 포함한 선형 및 비선형 모델에 정규화된 목표함수를 적용한다.
• 다양한 $\epsilon$ 값에서 PGD 공격을 사용하여 강건성을 평가하며, 표준 학습, LCR, 적대적 학습 및 기타 기준 모델과의 정확도(정상 및 강건)를 비교한다.
• 표본 크기가 증가함에 따라 베이즈 최적 분류기로 수렴함을 보장하기 위해 이 정규화된 목표함수가 여전히 피셔 일치성을 유지한다는 것을 이론적으로 입증한다.

실험 결과

연구 질문

• RQ1 표준 딥러닝 학습은 정확도를 높이기 위해 최소 마진을 최대화하면서도 평균 마진을 크게 감소시켜 적대적 공격에 취약하게 만들까?
• RQ2 평균 마진을 명시적으로 최대화함으로써 정확도를 떨어뜨리지 않고도 적대적 강건성을 향상시킬 수 있는가?
• RQ3 제안된 정규화 항은 피셔 일치성을 유지하는가? 이는 학습된 분류기가 점차적으로 베이즈 최적 분류기로 수렴함을 보장한다.
• RQ4 적대적 학습, 리프시츠 정규화 및 기타 방어 기법과 비교했을 때, 제안된 방법은 강건성과 효율성 측면에서 어떻게 다른가?
• RQ5 최소 마진과 평균 마진 간의 상충 관계는 다양한 아키텍처와 데이터셋 간에도 지속되는가?

주요 결과

• 표준 학습은 정확도를 높이기 위해 최소 마진을 최대화하지만, 이로 인해 평균 마진이 크게 감소하여 적대적 공격에 더 취약해진다.
• MNIST에서 제안된 평균 마진 정규화 항(AMR)은 $\ell_2$ PGD 공격에서 $\epsilon=2.0$일 때 97.33%의 강건 정확도를 달성하며, 표준 학습(87.52%)과 LCR(26.96%)를 모두 뛰어넘는다.
• CIFAR-10에서 AMR는 $\epsilon=2.0$일 때 93.12%의 강건 정확도를 기록하며, 표준 학습(22.64%)을 뛰어나고, 적대적 학습과 수준을 같이 하되 PGD 기반 방법보다 훨씬 효율적이다.
• AMR는 테스트된 모든 $\epsilon$ 값에서 강건성을 지속적으로 향상시키며, 특히 LCR와 표준 학습이 크게 떨어지는 큰 변형에 대해 뛰어난 성능을 보인다.
• AMR는 MNIST와 CIFAR-10 양쪽에서 최대 마진 정규화 항(MMR)보다 뛰어나며, 이는 평균 마진 제어가 선형 영역 최대화보다 더 효과적임을 시사한다.
• AMR의 학습 시간은 표준 학습과 유사하여, 반복적인 PGD 업데이트나 정밀 조정이 필요한 적대적 학습 또는 딥 디펜스보다 훨씬 효율적이다.