[논문 리뷰] Understanding the Interaction of Adversarial Training with Noisy Labels

Jianing Zhu, Jingfeng Zhang외 6명|arXiv (Cornell University)|2021. 02. 06.

Adversarial Robustness in Machine Learning참고 문헌 43인용 수 15

한 줄 요약

이 논문은 적대적 훈련(AT)이 공격 샘플을 생성하는 데 필요한 PGD 단계 수를 데이터의 강건성 지표로 활용함으로써 노이즈가 있는 레이블의 영향을 내재적으로 완화함을 밝혀낸다. 이를 바탕으로 기하학적 강건성 측정치인 PGD 단계 수를 새로운 기준으로 삼아 잘못 레이블링된 데이터와 희귀 데이터를 식별하고, 적대적 레이블 오염 상황에서도 기존 방법보다 뛰어난 성능을 보이는 강건한 레이블 주석자(annotator)를 제안한다.

ABSTRACT

Noisy labels (NL) and adversarial examples both undermine trained models, but interestingly they have hitherto been studied independently. A recent adversarial training (AT) study showed that the number of projected gradient descent (PGD) steps to successfully attack a point (i.e., find an adversarial example in its proximity) is an effective measure of the robustness of this point. Given that natural data are clean, this measure reveals an intrinsic geometric property -- how far a point is from its class boundary. Based on this breakthrough, in this paper, we figure out how AT would interact with NL. Firstly, we find if a point is too close to its noisy-class boundary (e.g., one step is enough to attack it), this point is likely to be mislabeled, which suggests to adopt the number of PGD steps as a new criterion for sample selection for correcting NL. Secondly, we confirm AT with strong smoothing effects suffers less from NL (without NL corrections) than standard training (ST), which suggests AT itself is an NL correction. Hence, AT with NL is helpful for improving even the natural accuracy, which again illustrates the superiority of AT as a general-purpose robust learning criterion.

연구 동기 및 목표

• 적대적 훈련(AT)과 노이즈 있는 레이블(NL) 간의 상호작용을 연구하며, 이는 이전에 별개로 연구된 바가 있다.
• 레이블 노이즈가 존재하는 상황에서 표준 훈련(ST)에 비해 왜 AT가 잘못 레이블링된 데이터의 기억을 줄이는지 이해한다.
• 잘못 레이블링된 데이터와 희귀 데이터를 식별하기 위한 새로운 강건성 기반 측정치인 적대적 예제 생성에 필요한 PGD 단계 수를 제안한다.
• 적대적 레이블 오염 상황에서도 비정상적인 데이터에 대해 신뢰할 수 있는 레이블을 할당할 수 있도록 PGD 단계 수를 활용하는 강건한 레이블 주석자를 개발한다.
• 적대적 훈련에서 유도된 기하학적 강건성 측정치를 바탕으로 레이블 신뢰도에 대한 신뢰도 점수를 제공한다.

제안 방법

• 적대적 예제를 잘못 분류하는 데 필요한 투영된 경사 하강(Projection Gradient Descent, PGD) 단계 수를 데이터 강건성의 기하학적 측정치로 사용하며, 이를 κ로 표기한다.
• 모델의 예측 신뢰도와 적대적 강건성에 기반해 κ < K 이고 손실 값이 L 초과일 경우, 비정상적인 데이터의 레이블을 재할당하는 강건한 주석자 알고리즘을 제안한다.
• 지역 결정 경계를 매끄럽게 하여 노이즈 있는 샘플의 기억을 줄이기 위해 PGD 기반의 적대적 데이터 생성을 활용한 적대적 훈련을 수행한다.
• PGD 단계 수(κ)를 신뢰도 점수로 활용한다: κ가 클수록 레이블 예측의 신뢰도가 높음을 의미한다.
• 적대적 레이블 변형 상황에서 비정상적인 데이터에 대해 강건한 주석자를 적용하여, 노이즈 있는 조건에서도 일반화 성능 향상을 입증한다.
• CIFAR-10과 시뮬레이션 데이터셋에서 방법을 검증하며 대칭 레이블 노이즈와 적대적 데이터 변형 상황에서의 성능을 비교한다.

실험 결과

연구 질문

• RQ1 적대적 훈련은 일반화와 기억 현상 측면에서 노이즈 있는 레이블과 어떻게 상호작용하는가?
• RQ2 적대적 예제를 생성하는 데 필요한 PGD 단계 수는 잘못 레이블링되거나 희귀한 데이터를 식별하는 데 신뢰할 수 있는 지표가 될 수 있는가?
• RQ3 적대적 훈련은 명시적인 수정 메커니즘이 없이도 암묵적인 레이블 노이즈 수정 기능을 수행하는가?
• RQ4 표준 레이블 할당 방법에 비해 적대적 레이블 오염 상황에서 강건한 주석자는 어떻게 성능을 내는가?
• RQ5 PGD 단계 수(κ)는 비정상적인 데이터의 레이블 신뢰도에 대해 신뢰할 수 있는 점수로 활용될 수 있는가?

주요 결과

• 적대적 훈련은 표준 훈련에 비해 잘못 레이블링된 데이터의 기억을 크게 줄이며, AT에서 잘못된 샘플 주변에 작은 클러스터가 존재하지 않는 것으로 확인된다.
• 특히 노이즈가 많은 환경에서 손실 값보다 PGD 단계 수(κ)가 정확한 데이터와 잘못된 데이터를 구분하는 데 더 효과적인 측정치이다.
• 20%의 대칭 레이블 노이즈가 존재하는 상황에서, 비정상적인 데이터가 100% 적대적으로 변형된 상황에서도 강건한 주석자는 높은 레이블 정확도를 유지하며, 표준 및 PGD 기반 기준보다 뛰어난 성능을 보였다.
• 높은 κ 값(예: κ ≥ 10)을 가진 데이터는 실험 결과 90% 이상의 예측 정확도를 보이며, κ가 레이블 예측의 신뢰도 점수로 신뢰할 수 있음을 확인한다.
• 강건한 주석자는 정확한 데이터와 잘못된 데이터 간의 훈련 정확도 격차를 줄이며, AT는 ST에 비해 잘못 레이블링된 점에서 더 낮은 훈련 정확도를 보였다.
• 노이즈 있는 레이블과 함께 적대적 훈련을 수행하면 강건성과 자연적 정확도가 모두 향상되며, 이는 AT가 암묵적인 레이블 노이즈 수정 기능을 수행하는 일반적인 강건한 학습 기준임을 보여준다.