[논문 리뷰] Using Videos to Evaluate Image Model Robustness

Keren Gu, Brandon Yang외 3명|arXiv (Cornell University)|2019. 04. 22.

Adversarial Robustness in Machine Learning참고 문헌 20인용 수 31

한 줄 요약

이 논문은 연속된 영상 프레임 간의 미세하고 자연스러운 변형에 대한 강건성인 자연 강건성(natural robustness)을 도입하고, YouTube-BoundingBoxes 데이터셋을 사용하여 평가한다. 연구 결과, 더 정확한 모델일수록 자연 강건성이 더 높으며, 합성된 색상 왜곡은 자연 강건성에 대한 강력한 대체 지표임을 발견했고, 적대적 훈련은 아키텍처에 관계없이 자연 강건성을 체계적으로 향상시키지 못한다는 것을 확인했다.

ABSTRACT

Human visual systems are robust to a wide range of image transformations that are challenging for artificial networks. We present the first study of image model robustness to the minute transformations found across video frames, which we term "natural robustness". Compared to previous studies on adversarial examples and synthetic distortions, natural robustness captures a more diverse set of common image transformations that occur in the natural environment. Our study across a dozen model architectures shows that more accurate models are more robust to natural transformations, and that robustness to synthetic color distortions is a good proxy for natural robustness. In examining brittleness in videos, we find that majority of the brittleness found in videos lies outside the typical definition of adversarial examples (99.9\%). Finally, we investigate training techniques to reduce brittleness and find that no single technique systematically improves natural robustness across twelve tested architectures.

연구 동기 및 목표

• 이전의 적대적 강건성 연구에서 간과된, 연속된 영상 프레임 간에 발생하는 미세하고 자연스러운 변형에 대한 이미지 모델의 강건성을 조사하기 위해.
• 도메인 전이 문제를 피하기 위해 실제 영상 데이터를 사용하여 자연 강건성 평가를 위한 벤치마크를 수립하기 위해.
• 기존의 훈련 기법이 자연 변형에 대한 강건성을 향상시키는지, 그리고 적대적 강건성과 자연 강건성 간의 상관관계가 있는지 확인하기 위해.
• 실제로 사용할 수 있는 합성 왜곡(예: 색상 이동)이 자연 강건성 평가에 신뢰할 수 있는 대체 지표가 될 수 있는지 평가하기 위해.

제안 방법

• 자연 변형에 대한 모델 강건성을 평가하기 위해 380만 개의 편집되지 않은 영상 세그먼트를 포함한 YouTube-BoundingBoxes (YT-BB) 데이터셋을 사용한다.
• 기본 프레임에서 정확하게 분류된 경우 이웃 프레임에서의 조건부 정확도로 자연 강건성을 정의하며, 공식은 $ R_d(f) = P(f(d(x)) = y \mid f(x) = y) $ 를 사용한다.
• 합성 왜곡(예: 색상 포화도, Hue, 노이즈 등)과 적대적 예제를 비교하며, 변형 크기를 측정하기 위해 $ L_\infty $ 노름을 사용한다.
• 모델 아키텍처의 도메인 일치를 확보하기 위해 12종의 모델 아키텍처(예: ResNet, MobileNet, VGG)를 YT-BB 분류 작업에 맞추어 미세조정한다.
• 모든 아키텍처에 대해 적대적 로짓 페어링, 가중치 감소, 레이블 스무딩, 로짓 압축 등의 정규화 및 적대적 훈련 기법을 테스트한다.
• 연속된 영상 프레임 간의 취약한 프레임 쌍과 적대적 예제 간의 겹침을 분석하기 위해 $ L_\infty $ 거리를 측정하고, 일반적으로 사용되는 $ \epsilon = 16 $ 적대적 예제 기준과 비교한다.

실험 결과

연구 질문

• RQ1 모델의 정확도는 영상 프레임 간 자연 변형에 대한 강건성과 어떻게 상관관계가 있는가?
• RQ2 합성 왜곡(예: 색상 이동)은 자연 강건성에 대해 어느 정도 효과적인 대체 지표가 되는가?
• RQ3 영상 프레임 간의 취약성 중 얼마나 많은 비율이 일반적인 적대적 예제 정의(예: $ L_\infty \leq 16 $)를 초과하는가?
• RQ4 표준 적대적 훈련 또는 정규화 기법이 다양한 모델 아키텍처 전반에서 자연 강건성을 체계적으로 향상시키는가?
• RQ5 자연적인 프레임 간 변형의 크기와 적대적 예제에서 사용하는 $ L_\infty $ 노름 간의 관계는 어떠한가?

주요 결과

• 더 정확한 이미지 모델 아키텍처일수록 자연 강건성이 유의미하게 높으며, 상위 1위 정확도가 영상 프레임 전환에 대한 강건성과 강하게 상관된다.
• 합성된 색상 왜곡(예: 포화도 및 Hue 이동)은 자연 강건성과 매우 높은 상관관계를 보이며, 영상 데이터 없이도 강건성 평가에 효과적인 대체 지표가 된다.
• 취약한 영상 프레임 쌍 중 약 0.01%만이 일반적인 $ L_\infty \leq 16 $ 적대적 예제 정의에 포함되며, 이는 대부분의 영상 취약성이 적대적 강건성으로는 포괄되지 않음을 시사한다.
• 연속된 영상 프레임 간 평균 $ L_\infty $ 거리는 66ms 간격에서 213 ± 49.1로, 일반적인 적대적 편향 임계값을 훨씬 초과한다.
• 12개의 테스트된 모델 아키텍처 전반에서 단일한 정규화 또는 적대적 훈련 기법이 자연 강건성을 체계적으로 향상시키지 못하지만, 특정 기법은 일부 모델에선 도움이 된다(예: 가중치 감소로 ResNet-152의 강건성이 1.2% 향상됨).
• ImageNet 모델을 직접 YT-BB 데이터셋에 미세조정할 경우 평균 정확도가 27% 감소하므로, 강건성 평가에서 도메인 일치의 중요성을 강조한다.