[논문 리뷰] SOAR: Second-Order Adversarial Regularization

Avery Ma, Fartash Faghri외 2명|arXiv (Cornell University)|2020. 04. 04.

Adversarial Robustness in Machine Learning참고 문헌 46인용 수 6

한 줄 요약

SOAR는 입력 변화에 대한 손실 함수의 2차 테일러 전개를 사용하여 악성 공격에 대한 최악의 손실을 근사함으로써 딥 네ural 네트워크의 강건성을 향상시키는 2차 적으로 악성 정규화 방법을 제안한다. $\varepsilon=8/255$ $µ_{\infty}$ PGD 공격 하에서 CIFAR-10과 SVHN에서 최신 기준을 초월하는 강건한 정확도를 달성하며, 일부 설정에서는 표준 악성 훈련을 능가하지만 더 강력한 AutoAttack 설정에서는 취약점을 드러낸다.

ABSTRACT

Adversarial training is a common approach to improving the robustness of deep neural networks against adversarial examples. In this work, we propose a novel regularization approach as an alternative. To derive the regularizer, we formulate the adversarial robustness problem under the robust optimization framework and approximate the loss function using a second-order Taylor series expansion. Our proposed second-order adversarial regularizer (SOAR) is an upper bound based on the Taylor approximation of the inner-max in the robust optimization objective. We empirically show that the proposed method significantly improves the robustness of networks against the $\ell_\infty$ and $\ell_2$ bounded perturbations generated using cross-entropy-based PGD on CIFAR-10 and SVHN.

연구 동기 및 목표

• 모델 강건성을 향상시키기 위해 데이터 증강 기반의 악성 훈련에 대한 직접적인 정규화 기반 대안을 개발하기 위해.
• 입력 변화에 대한 손실 함수의 2차 테일러 전개를 사용하여 강건 최적화의 내부 최대화 문제를 근사함으로써 강건성을 향상시키기 위해.
• 악성 훈련의 높은 샘플 복잡도 문제를 해결하기 위해, 악성 예제를 생성하고 저장할 필요가 없는 파라미터 정규화 접근법을 도입하기 위해.
• 로지스틱 회귀와 딥 네트워크에서 $µ_{\infty}$ 및 $µ_{2}$ 변화에 대해 헤시안 기반 정규화의 효과를 조사하기 위해.
• 특히 다양한 변화 강도에서 작용하는 강력한 최신 기술 공격, 예를 들어 AutoAttack에 대한 SOAR의 강건성 평가하기 위해.

제안 방법

• SOAR는 입력 변화 $\delta$ 에 대한 손실 함수 $\ell(x+\delta)$ 의 2차 테일러 전개를 사용하여 최악의 손실에 대한 상한을 유도한다.
• 정규화 항은 입력에 대한 손실의 기울기 $\nabla_x \ell(x)$ 와 헤시안 $\nabla_x^2 \ell(x)$ 를 모두 포함하여 악성 강건성의 더 정확한 근사를 가능하게 한다.
• 이 방법은 강건 최적화 프레임워크 내에서 악성 강건성을 설정하고, 내부 최대화 문제를 테일러 전개를 통해 근사함으로써 다루기 쉬운 정규화 항을 도출한다.
• 로지스틱 회귀와 딥 네트워크에서 헤시안 기반 정규화를 사용할 때 훈련을 안정화시키기 위해 새로운 초기화 전략을 도입한다.
• SOAR는 $\varepsilon=8/255$ 와 $\ell_{\infty}$ 를 사용한 PGD 기반 공격을 통해 CIFAR-10과 SVHN에서 평가되며, 표준 악성 훈련 및 다른 최신 기술 방법과 비교된다.
• 이 방법은 AutoAttack, 즉 최신 기술의 악성 공격 세트를 통해 추가로 테스트되어 다양한 공격 전략 하에서의 강건성 평가가 이루어진다.

실험 결과

연구 질문

• RQ1 손실 함수의 2차 테일러 근사를 사용하면 1차 방법보다 더 날카롭고 효과적인 악성 강건성 상한을 제공할 수 있는가?
• RQ2 헤시안 기반 정규화는 악성 예제를 사용한 데이터 증강 없이도 표준 악성 훈련을 초월하는 강건한 정확도를 달성할 수 있는가?
• RQ3 특히 변화 예산 $\varepsilon$ 가 증가할 경우, AutoAttack과 같은 강력하고 적응형 공격 하에서 SOAR는 어떻게 성능을 발휘하는가?
• RQ4 로지스틱 회귀와 딥 네트워크에서 헤시안 기반 정규화를 사용할 때 모델 초기화는 훈련 안정성에 어떤 역할을 하는가?
• RQ5 악성 데이터 증강 없이도 정규화만으로 과도하게 파rameter화된 모델에서 악성 훈련 수준의 강건성을 달성할 수 있는가?

주요 결과

• SOAR는 $\varepsilon=8/255$ 일 때 CIFAR-10에서 $\ell_{\infty}$ PGD-20 공격에 대해 85.6%의 강건한 정확도를 달성하며, 일부 설정에서 표준 악성 훈련을 능가한다.
• SVHN에서는 동일한 PGD-20 $\ell_{\infty}$ 공격 하에서 88.9%의 강건한 정확도를 기록하여 다양한 데이터셋 간의 강력한 일반화 능력을 입증한다.
• $\varepsilon$ 가 1.0(전체 입력 범위)으로 증가할 경우, PGD-1 초기화를 사용한 SOAR는 0%의 강건한 정확도를 기록하며 더 강력한 공격에 취약함을 보여준다.
• 영초기화를 사용한 SOAR는 동일한 강력한 $\varepsilon=1.0$ PGD-20 공격 하에서 9.7%의 강건한 정확도를 기록하며, 초기화 방식이 강건성에 상당한 영향을 미친다는 것을 시사한다.
• $\varepsilon=8/255$ 일 때 AutoAttack 하에서 SOAR는 표준 악성 훈련보다 낮은 강건한 정확도를 보이며, 쿼리 기반 검색과 같은 적응형 공격 구성 요소에 취약함을 나타낸다.
• 연구 결과는 SOAR의 성능이 더 강력한 공격, 특히 다중 구성 요소나 적응형 전략을 사용하는 공격 하에서 떨어지며, 핵심적인 제한점이 있음을 드러낸다.