기술 요약: 딥러닝 표현의 인증된 견고성을 위한 특징 공간 평활화

1. 문제 정의

현대 딥러닝 모델, 특히 GPT-4 와 Gemini 와 같은 멀티모달 대규모 언어 모델 (MLLM) 은 매우 효과적이지만 적대적 공격에 취약합니다. 이러한 공격은 특징 표현을 왜곡하여 잘못된 예측을 유도하기 위해 깨끗한 입력에 미묘하고 감지하기 어려운 교란을 주입합니다. 경험적 방어 (예: 적대적 학습) 가 존재하지만, 이들은 공식적인 견고성 보장을 제공하지 못하며 더 강력하고 적응적인 적대자에게는 종종 실패합니다. furthermore, 기존 인증된 방어 방법 (예: 무작위 평활화) 은 주로 이산적 출력을 가진 분류 작업을 위해 설계되어 일반 특징 표현, 회귀 작업, 또는 MLLM 의 복잡한 디코딩 과정에 적용하기 어렵습니다. 또한, 견고성을 향상시키기 위해 대규모 사전 학습 모델을 재학습시키는 것은 계산적으로 불가능에 가깝습니다.

해결된 핵심 과제는 인증된 견고성을 특징 표현 수준에서 제공하며, 다양한 모델과 작업 (MLLM 포함) 에 걸쳐 일반화될 수 있고, 비용이 많이 드는 모델 재학습 또는 미세 조정이 필요하지 않은 방어 프레임워크를 개발하는 것입니다.

2. 방법론

제안된 솔루션은 **특징 공간 평활화 (Feature-space Smoothing, FS)**와 **가우시안 평활화 부스터 (Gaussian Smoothness Booster, GSB)**라는 두 가지 주요 구성 요소로 이루어져 있습니다.

2.1 특징 공간 평활화 (Feature-space Smoothing, FS)

FS 는 가우시안 평활화를 통해 표준 특징 인코더 $f_e$를 평활화된 변형 $\hat{f}_e$로 변환하는 일반 프레임워크입니다.

• 메커니즘: 입력 $x$에 대해, 평활화된 인코더는 가우시안 분포에 걸친 특징 표현의 기댓값을 출력합니다: $\hat{f}_e(x) = \mathbb{E}_{\epsilon \sim \mathcal{N}(0, I)}[f_e(x + \epsilon)]$.
• 이론적 보장: 저자들은 **특징 코사인 유사도 경계 (Feature Cosine Similarity Bound, FCSB)**를 확립했습니다. $\ell_2$-바운드된 교란 하에서 깨끗한 특징과 적대적 평활화 특징 간의 코사인 유사도가 특정 하한 이상으로 보장됨을 증명했습니다.
• 인증 반경: 이 경계를 통해 인증된 반경 $R$을 유도할 수 있습니다. 교란 크기가 $R$ 이내라면, 깨끗한 특징과 적대적 특징 간의 코사인 유사도가 임계값 (예: 0.5) 이상으로 유지됨이 보장됩니다.
• 예측 단위 확장: 이 프레임워크는 특징 수준의 보장을 예측 수준 인증으로 확장합니다. 예측이 정규화된 벡터로 표현될 수 있는 작업 (예: 검색, 프로토타입 기반 분류) 의 경우, FCSB 는 적대적 예측과 목표 예측 간의 코사인 유사도에 대한 보장된 경계로 변환됩니다.

2.2 가우시안 평활화 부스터 (Gaussian Smoothness Booster, GSB)

FS 의 이론적 경계는 기본 인코더의 고유한 가우시안 견고성 점수에 의존합니다. 사전 학습된 인코더는 종종 제한된 가우시안 견고성을 가지므로, 최적화되지 않은 인증 반경으로 이어집니다. 백본을 재학습하지 않고 이를 해결하기 위해 저자들은 플러그 앤 플레이 모듈인 GSB 를 제안하며, 이는 다음으로 구성됩니다:

1. 가우시안 디노이저 ($\mathcal{P}$): 특징 인코더 이전에 배치된 경량 모듈 (예: U-Net) 입니다. 가우시안으로 손상된 입력에서 깨끗한 입력을 재구성하도록 학습되어 특징 추출 전에 노이즈를 완화합니다.
2. 잔차 평활화 매핑기 ($\mathcal{M}$): 특징 추출 이후에 배치된 모듈입니다. 원래 특징 분포를 유지하면서 견고성을 향상시키기 위해 정제된 특징을 정제합니다. 깨끗한 입력에서의 안정성을 보장하기 위해 잔차 학습 방식을 사용합니다.

학습 전략: GSB 는 유틸리티 - 견고성 트레이드오프 손실을 사용하여 자기지도 방식으로 학습됩니다. 백본 인코더는 고정된 상태로 유지됩니다. 디노이저는 재구성 손실과 특징 일관성 손실을 최소화하고, 매핑기는 특징 일관성 손실과 통계적 정규화 (평균과 분산 보존) 를 최소화하며 깨끗한 입력에 대한 항등 손실을 함께 최소화합니다.

3. 주요 기여

• 특징 공간 평활화 (FS): $\ell_2$ 교란 하에서 깨끗한 특징과 적대적 특징 간의 코사인 유사도에 대해 증명 가능한 하한 (FCSB) 을 가진 평활화된 변형으로 임의의 특징 인코더를 변환하는 일반 방어 프레임워크.
• 예측 단위 인증: 정규화된 벡터 출력을 포함하는 작업 (예: Top-1 검색, 분류) 에 대해 특징 수준 FCSB 보장이 예측 수준 견고성으로 전파될 수 있음을 보여주는 이론적 확장.
• 가우시안 평활화 부스터 (GSB): 백본의 미세 조정 없이 기존 인코더의 가우시안 견고성 점수를 향상시켜 인증된 반경을 개선하는 플러그 앤 플레이 모듈.
• 체계적 평가: 다양한 비전 인코더 (CLIP, SigLIP 2, EVA-CLIP) 와 MLLM( LLaVA, OpenFlamingo) 을 통한 포괄적인 실험으로, FS 가 비자명한 인증된 견고성을 제공하며 강력한 화이트박스 공격에 대해 경험적 성능을 크게 향상시킴을 입증.

4. 실험 결과

4.1 인증된 견고성

• 특징 단위: ImageNet 에서 GSB 를 FS 와 통합하면 FCSB $\geq 0.5$에 대한 평균 인증 반경 ($R$) 이 크게 증가했습니다. 예를 들어, $\sigma=0.5$일 때, CLIP 의 평균 반경은 0.101 에서 0.455 로, SigLIP 2 는 0.134 에서 0.514 로 증가했습니다.
• 예측 단위: ImageNet 분류에서 FS 는 별도의 평활화 분류기가 필요하지 않으면서도 표준 무작위 평활화 (RS) 와 비교 가능한 인증 정확도를 달성했습니다. SigLIP 2 의 경우, FS 는 $\epsilon=1.00$에서 64.0% 의 인증 정확도를 달성하여 RS(67.6%) 와 비교 가능했습니다.
• 검색: MS COCO 제로샷 검색에서 FS 는 비자명한 인증 정확도를 제공했으나, 텍스트 임베딩의 밀집성으로 인해 분류 작업보다 마진이 더 좁았습니다.

4.2 화이트박스 공격에 대한 경험적 견고성

이 프레임워크는 이미지 캡셔닝, 분류, VQA 작업에 걸쳐 MLLM( LLaVA-1.5-7B, OpenFlamingo-9B) 에 대해 최첨단 화이트박스 공격 (PGD, APGD, M-Attack, FOA, AttackVLM) 에 대해 테스트되었습니다.

• 이미지 캡셔닝: 강력한 FOA 공격 하에서 일반 LLaVA 의 정확도는 1% 로 떨어졌습니다. FS 를 적용하면 정확도는 65% 로 상승했고, 공격 성공률 (ASR) 은 94% 에서 6% 로 감소했습니다. FS 는 추가 미세 조정 없이 적대적으로 학습된 베이스라인 (FARE, TeCoA) 의 견고성도 향상시켰습니다.
• 이미지 분류: FS 는 FOA 공격 하에서 LLaVA 의 정확도를 3.8% 에서 87.2% 로 높여 ASR 을 81% 에서 0.2% 로 감소시켰습니다.
• VQA: FS 는 깨끗한 정확도 (54.0%) 를 유지하면서 가우시안 노이즈 정확도를 향상시키고 ASR 을 거의 0 으로 낮췄으며, 반면 적대적 학습 베이스라인 (FARE, TeCoA) 은 깨끗한 성능이 크게 저하되었습니다.

4.3 효율성

특징 단위 평활화는 전체 모델 평활화보다 추론 오버헤드가 낮습니다. $n_0=8$개의 가우시안 샘플을 사용할 때, LLaVA 의 추론 시간은 이미지당 약 0.36 초만 증가하여 실용적 타당성을 입증했습니다.

5. 중요성과 주장

본 논문은 **특징 공간 평활화 (FS)**가 인증된 견고성의 초점을 작업별 출력 공간에서 특징 표현 수준으로 이동시킴으로써 중요한 발전을 이루었다고 주장합니다. 이를 통해 다음이 가능해집니다:

1. 일반화: 예측 헤드를 수정하거나 백본을 재학습하지 않고도 분류, 검색, 생성 등 다양한 하위 작업에 적용 가능.
2. 플러그 앤 플레이 통합: GSB 를 통해 대규모 사전 학습 모델 (MLLM 포함) 을 전체 모델 재학습 또는 정렬의 계산 비용 없이 견고하게 만들 수 있음.
3. 증명 가능한 보장: 경험적 방어들이 lacking 한 신뢰 수준을 제공하며, 예측 안정성으로 변환되는 특징 유사도에 대한 수학적으로 증명 가능한 하한을 제공.

저자들은 현재 인증이 $\ell_2$-바운드된 교란으로 제한되며, 모든 개방형 MLLM 디코딩 행동을 포괄하지 않을 수 있는 코사인 유사도 기반 의사결정 규칙에 의존한다는 한계를 인정합니다. 향후 연구는 다른 위협 모델 (예: $\ell_\infty$, 의미론적 공격) 과 더 넓은 생성 작업으로 프레임워크를 확장하는 것을 목표로 합니다.