[논문 리뷰] CAT: Customized Adversarial Training for Improved Robustness

Minhao Cheng, Lei Qi외 3명|arXiv (Cornell University)|2020. 02. 17.

Adversarial Robustness in Machine Learning인용 수 27

한 줄 요약

이 논문은 적응형으로 각 학습 샘플의 노이즈 수준과 타겟 레이블을 조정하는 새로운 방법인 커스터마이즈드 적대적 훈련(CAT)을 제안한다. 동적으로 조정되는 인스턴스별 $\epsilon$와 one-hot 레이블 대신 신뢰도를 고려한 소프트 레이블을 사용함으로써, CAT는 와이드 리스넷을 사용할 때 CIFAR-10에서 최고 수준의 강건성 정확도(73% PGD 기준, 71% C&W 기준)를 달성하면서도 높은 클린 정확도(93.48%)와 최소한의 계산 오버헤드를 유지한다.

ABSTRACT

Adversarial training has become one of the most effective methods for improving robustness of neural networks. However, it often suffers from poor generalization on both clean and perturbed data. In this paper, we propose a new algorithm, named Customized Adversarial Training (CAT), which adaptively customizes the perturbation level and the corresponding label for each training sample in adversarial training. We show that the proposed algorithm achieves better clean and robust accuracy than previous adversarial training methods through extensive experiments.

연구 동기 및 목표

• 모든 샘플에 동일한 전역적 노이즈 예산 $\epsilon$를 가정하는 기존의 접근 방식을 완화함으로써, 적대적 훈련에서의 강건성-정확도 트레이드오���을 해결하고자 한다.
• 각 데이터 인스턴스의 내재적 강건성과 모델 신뢰도를 기반으로 적대적 노이즈 수준과 해당 타겟 레이블을 맞춤형으로 조정하여 일반화 성능을 향상시키고자 한다.
• 표준 적대적 훈련과 유사한 계산 효율성을 유지하면서도 기존 방법보다 훨씬 뛰어난 클린 정확도와 강건 정확도를 달성하는 방법을 개발하고자 한다.
• 적응형 레이블 불확실성과 인스턴스별 $\epsilon$ 조정을 통해 향상된 일반화 성능을 이론적으로 정당화하고자 한다.

제안 방법

• CAT는 각 학습 예제의 决策 경계까지의 거리와 모델 신뢰도를 기반으로 인스턴스별로 노이즈 예산 $\epsilon_i$를 동적으로 계산한다.
• 모델이 불확실할 경우, 특히 决策 경계 근처에서는 one-hot 레이블을 소프트 레이블(예: $[0.5, 0.5]$)로 대체하는 신뢰도 기반 레이블 적응 전략을 사용한다.
• 인스턴스별 $\epsilon_i$와 해당 적응형 레이블을 사용하여 최소-최대 최적화 문제로 적대적 훈련을 공식화함으로써, 클린 정확도를 희생시키지 않고도 강건성을 향상시킨다.
• 불확실성을 손실 함수에 통합할 수 있는 미분 가능한, 다시 말해 미분 가능한 레이블 적응 메커니즘을 도입하여 엔드 투 엔드 훈련을 가능하게 한다.
• 각 샘플별로 적응형 스텝 크기를 사용하는 PGD 기반 공격을 통해 적대적 예제를 생성함으로써 효율성을 유지한다.
• CAT는 적응형 $\epsilon$와 레이블 스무딩(LA)을 통합된 프레임워크 안에서 함께 최적화함으로써 통합된 접근 방식을 구현한다.

실험 결과

연구 질문

• RQ1 적응형이고 인스턴스별로 설정된 노이즈 수준이 적대적 훈련에서 강건성과 클린 정확도를 동시에 향상시킬 수 있는가?
• RQ2 one-hot 레이블을 신뢰도 기반 소프트 레이블로 대체하면 결정 경계의 일반화 성능이 향상되는가?
• RQ3 노이즈 수준과 레이블을 각 인스턴스에 맞게 맞춤형으로 조정하는 방법이 표준 적대적 훈련과 기존 적응형 방법보다 뛰어난 성능을 낼 수 있는가?
• RQ4 CAT의 성능 향상 요인은 더 나은 최적화 때문인가, 아니면 더 강건한 결정 경계 때문인가?
• RQ5 CAT는 블랙박스 전이 공격에서의 가려진 기울기 문제를 완화하는가?

주요 결과

• CAT는 와이드 리스넷을 사용할 때 PGD 공격 기준 73%의 강건 정확도, C&W 공격 기준 71%의 강건 정확도를 달성하여 이전 최고 성능(각각 58.6%와 56.8%)을 크게 뛰어넘었다.
• CAT의 클린 정확도는 93.48%로, 다른 적대적 훈련 방법들(모두 91.34% 이하)보다 뚜렷하게 높다.
• CAT는 표준 적대적 훈련과 유사한 계산 효율성을 유지하며, 오직 무시할 만한 오버헤드만을 유발한다.
• CAT로 훈련된 모델의 손실 경로는 표준 및 기타 적대적 훈련 방법보다 더 낮고 매끄럽다. 이는 더 나은 일반화 성능을 의미한다.
• CAT는 강력한 전이 강건성을 보이며, 와이드 리스넷에서 블랙박스 전이 공격 기준 88.66%의 정확도를 달성하여 표준 적대적 훈련과 TRADES를 모두 능가했다.
• 제거 실험 결과, 적응형 $\epsilon$와 레이블 적응을 함께 조합하는 것이 필수적임을 확인했다. 단독으로는 동일한 성능 향상을 달성하지 못한다.