💻 computer science

Certified vs. Empirical Adversarial Robust-ness via Hybrid Convolutions with Attention Stochasticity

본 논문은 결정론적 스펙트럼 정규화와 확률적 어텐션 및 투영 메커니즘을 통합하여 인증된 L2 및 경험적 L∞ 견고성 간의 격차를 동시에 축소하면서도 다양한 이미지 벤치마크 전반에 걸쳐 강력한 일반화 성능을 유지하는 새로운 적대적 방어 프레임워크인 HyCAS 를 소개합니다.

원저자: Joy Dhar, Song Xia, Manish Kumar Pandey, Maryam Haghighat, Azadeh Alavi, Ferdous Sohel, Wenyu Zhang, Nayyar Zaidi

게시일 2026-05-05

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Joy Dhar, Song Xia, Manish Kumar Pandey, Maryam Haghighat, Azadeh Alavi, Ferdous Sohel, Wenyu Zhang, Nayyar Zaidi

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

상상해 보세요. 건물의 출입증을 확인하는 매우 똑똑한 보안 요원 (AI) 이 있다고 가정해 봅시다. 이 요원은 사람을 식별하는 데 뛰어나지만, 교활한 도둑 (적대적 공격) 은 아주 작고 거의 보이지 않는 가면을 쓰거나 자세를 약간만 바꾸는 것으로 요원을 속여 출입을 허용하게 만들 수 있습니다.

오랫동안 보안 연구자들은 이 문제를 해결하기 위해 두 가지 다른 방법을 시도해 왔습니다:

강화 (Hardening) 접근법: 요원의 눈을 더 예리하게 만들고 수천 개의 가짜 가면으로 훈련시키는 방법입니다. 이는 실제로 잘 작동하지만, 요원이 새로운 수법에 속지 않을 것이라고 수학적으로 100% 확신할 수는 없습니다.
안대 (Blindfold) 접근법: 요원에게 안대를 씌우고 흐릿하고 노이즈가 섞인 얼굴 이미지를 바탕으로 신원증을 추측하게 하는 방법입니다. 이는 특정 거리 내에서 요원이 속지 않을 것이라는 수학적 보장 (인증서) 을 제공하지만, 요원이 실제 사람을 식별하는 속도를 훨씬 늦추고 정확도를 떨어뜨립니다.

HyCAS는 두 가지 방법의 장점을 모두 얻으려는 새로운 보안 시스템입니다. 이는 요원에게 초고해상도 렌즈와 내장형 이동식 안개 발생기가 결합된 특수한 스마트 안경을 주는 것과 같습니다.

다음은 HyCAS 가 작동하는 방식을 간단한 부분으로 나누어 설명한 것입니다:

1. "단단한 골격" (결정론적 핵심)

먼저, 시스템은 요원의 뇌를 위한 매우 엄격하고 단단한 골격을 구축합니다. 수학적으로 이는 1-리프시츠 (1-Lipschitz) 네트워크입니다.

비유: 요원의 뇌가 강철 보로 만들어졌다고 상상해 보세요. 입력 (신원증) 을 얼마나 강하게 밀거나 당기더라도 내부 구조는 아주 작고 예측 가능한 양만큼만 휘어질 수 있습니다. 이는 도둑이 틈을 비집고 들어갈 '약점'을 찾지 못하게 합니다.

2. "이동하는 안개" (확률적 부분)

단단한 골격만으로는 여전히 예측 가능합니다. 도둑이 강철이 어떻게 휘는지 정확히 안다면 여전히 속일 수 있습니다. 따라서 HyCAS 는 요원이 신원증을 볼 때마다 매번 변하는 두 층의 "안개"를 추가합니다:

무작위 투영 (Random Projections): 요원이 갑자기 만화경을 통해 신원증을 보는데, 그 만화경이 매번 색상과 패턴을 무작위로 재배열한다고 상상해 보세요.
어텐션 노이즈 (Attention Noise): 요원의 시야에 화면의 정적이나 "눈"이 약간 생기는 것처럼 보이지만, 이 정제는 통제된 방식으로 움직입니다.
비유: 안개와 만화경이 매번 변하기 때문에 도둑은 두 번 이상 통하는 단일 수법을 계획할 수 없습니다. 그들은 추측해야 하며, 그 추측은 실패할 가능성이 높습니다.

3. "마법 같은 융합" (하이브리드 합성곱)

이 논문에서는 이를 HyCAS라고 부릅니다. 이는 단단한 강철 골격과 이동하는 안개를 혼합합니다.

결과: 모든 무작위성에도 불구하고, 시스템은 여전히 수학적으로 "단단한" (2-리프시츠 네트워크) 상태입니다. 이는 연구자들이 "이 요원은 X 보다 작은 어떤 위장술에도 속지 않을 것"이라고 수학적 인증서를 작성할 수 있음을 의미합니다.
이점: 이전의 "안대" 방법과 달리, 이 시스템은 실제 사람을 선명하게 보는 능력을 잃지 않습니다. 도둑에게는 예측 불가능하면서도 선명함을 유지합니다.

그들이 증명한 것은 무엇인가?

연구자들은 이 새로운 요원을 다양한 "건물" (데이터셋) 에서 테스트했습니다:

일반 건물: CIFAR-10 및 ImageNet (일상 사진) 과 같은 것들.
전문 건물: 의료용 X 선 (가슴 스캔), 피부 병변 사진, 얼굴 인식과 같은 것들.

결과:

강화된 보장: HyCAS 는 이전의 "인증된" 방법들보다 공격을 더 잘 방어하는 것을 증명했습니다. 예를 들어, 의료용 X 선에서 보장된 안전 마진을 약 7.3% 개선했습니다.
더 나은 현실 세계 방어: 또한 이전의 "경험적" 방법들보다 강력한 현실 세계 해킹 시도 (경험적 공격) 에 대해 더 잘 대처하여 피부 병변 데이터에서 최대 3.1% 까지 안전성을 향상시켰습니다.
트레이드오프 없음: 일반적으로 시스템을 더 안전하게 만들면 지능이 떨어집니다 (일반 작업에서의 정확도 저하). HyCAS 는 정상 이미지를 올바르게 식별하는 능력을 희생하지 않고 더 안전하게 만드는 데 성공했습니다.

단점 (비용)

이 논문은 단점에 대해 솔직합니다. 이 "스마트 안개"를 작동시키기 위해 시스템은 훨씬 더 많은 수학적 계산을 수행해야 합니다.

비유: 요원 한 명 대신 세 명을 고용하거나, 한 명의 요원에게 동시에 세 개의 다른 만화경을 통해 보게 하는 것과 같습니다.
비용: 시스템은 표준 요원보다 약 15 배 더 많은 연산 능력 (FLOPs) 을 사용하며 이미지를 처리하는 데 더 많은 시간이 걸립니다. 그러나 저자들은 의료 진단이나 보안과 같이 100% 확신이 필요한 고위험 상황에서는 추가 시간과 비용이 그만한 가치가 있다고 말합니다.

요약

HyCAS 는 수학적으로 증명 가능 (안전함을 증명할 수 있음) 하고 실제로 강인한 (현실 세계에서 해커를 실제로 막음) AI 를 구축하는 새로운 방법입니다. 이는 단단한 구조를 구축한 다음 통제된 무작위성으로 그것을 흔들어, 공격자가 AI 가 어떻게 반응할지 예측하는 것을 불가능하게 만들면서도 AI 가 제 역할을 수행할 만큼 선명하게 유지함으로써 이를 달성합니다.

기술 요약: 어텐션 확률성 (HyCAS) 을 활용한 하이브리드 합성곱을 통한 인증된 대적적 강건성과 경험적 대적적 강건성 비교

1. 문제 제기

컴퓨터 비전의 딥러닝 모델은 여전히 대적적 공격에 취약하여, 자율 주행, 사기 탐지, 임상 의사결정 지원과 같은 안전이 중요한 응용 분야에 중대한 위험을 초래합니다. 기존 방어 전략은 일반적으로 두 가지 범주로 분류되며, 둘 다 중요한 한계를 겪고 있습니다:

경험적 방어: 대적적 학습 (AT) 과 같은 방법은 특정 공격에 대한 강건성을 극대화하지만, 공식적인 보장을 제공하지 못하며 더 강력하고 맞춤형된 공격 (예: APGD, AutoAttack) 에 취약합니다.
인증된 방어: 무작위 평활화 (RS) 와 같은 기법은 (보통 $\ell_2$ 노름 하에서) 증명 가능한 강건성 보장을 제공하지만, 큰 노이즈 예산이 깨끗한 정확도를 저하시키는 경직된 트레이드오프를 겪거나, 강력한 경험적 $\ell_\infty$ 공격으로 일반화되지 못하는 문제가 있습니다.

또한, 많은 기존 방어책은 주로 자연 이미지 데이터셋에서 검증되어 의료 영상과 같은 도메인별 분포에서의 효능은 불확실한 상태입니다. 다양한 이미지 벤치마크에서 강력한 일반성을 유지하면서 증명 가능한 $\ell_2$ 인증과 경험적 $\ell_\infty$ 강건성 사이의 격차를 동시에 좁히는 방어가 시급히 필요합니다.

2. 방법론: HyCAS

저자들은 결정론적 리프시츠 (Lipschitz) 제약과 확률적 평활화를 통합한 무작위화 방어 아키텍처인 **어텐션 확률성을 갖춘 하이브리드 합성곱 (Hybrid Convolutions with Attention Stochasticity, HyCAS)**을 제안합니다. 핵심 혁신은 네트워크 아키텍처 내부, 입력뿐만 아니라 제어된 데이터 무관 무작위성을 주입하여 공식적 인증이 가능한 전역적으로 $\le 2$ -리프시츠 네트워크를 생성하는 것입니다.

아키텍처 구성 요소

HyCAS 는 표준 합성곱 계층을 각각 $\le 2$ -리프시츠가 되도록 설계된 세 개의 병렬 스트림으로 대체하며, 이러한 스트림은 데이터 무관인 채널별 볼록 게이트를 통해 융합됩니다.

FDPAN (어텐션 노이즈를 갖춘 주파수 인지 결정론적 투영):
- 결정론적 1-리프시츠 코어와 두 개의 확률적 잔여를 결합합니다.
- 코어: 취약한 고주파 대역을 제거하기 위한 저역 통과 이산 코사인 변환 (DCT) 마스크를 활용하고, 채널 난포를 위한 직교 야코비 행렬 (1-리프시츠) 과 스펙트럼 정규화 합성곱 (SNC) 을 따릅니다.
- 확률성: 결정론적 코어 직후와 잔여로 다시 랜덤화된 어텐션 노이즈 (RANI) 를 주입하여 스트림이 $\le 2$ -리프시츠를 유지하도록 합니다.
SNCAN (어텐션 노이즈를 갖춘 스펙트럼 정규화 합성곱):
- 커널에 1-리프시츠 경계를 부과하기 위해 표준 합성곱을 스펙트럼 정규화 합성곱 (SNC) 으로 대체합니다.
- RANI 모듈을 통합하여 세밀한 데이터 무관 확률성을 주입함으로써, 결정론적 블록을 무작위화 방어로 변환하면서도 $\le 2$ -리프시츠 포장을 유지합니다.
RPFAN (어텐션 노이즈를 갖춘 무작위 투영 필터):
- 무작위 투영 필터를 통해 존슨 - 리덴마스트 (Johnson-Lindenstrauss) 임베딩 보장을 활용합니다.
- 프리믹스: 채널 에너지를 균등화하기 위해 직교 $1\times1$ 채널 믹서를 사용합니다.
- 스펙트럼 정규화: 무작위 투영 필터를 재조정하여 1-리프시츠가 되도록 배치 인식 2 단계 파워-반복 방식을 적용합니다.
- 확률성: 1-리프시츠 투영과 RANI 모듈을 결합하여 $\le 2$ -리프시츠 경계를 달성합니다.
RANI (랜덤화된 어텐션 노이즈 주입):
- 특징 맵에 경계된 데이터 무관 어텐션 마스크 $M_\omega \in [0, 1]^d$ 를 주입하는 메커니즘입니다.
- 공식적으로, 결정론적 매핑 $h$ 에 대해 RANI 출력은 $\hat{h} = h \odot M_\omega$ 입니다.
- 본 논문은 이 연산이 2-리프시츠임을 증명하여, 결정론적 1-리프시츠 블록을 효과적으로 무작위화된 2-리프시츠 블록으로 변환합니다.

이론적 보장

리프시츠 상수: 저자들은 각 구성 스트림 (FDPAN, SNCAN, RPFAN) 이 개별적으로 $\le 2$ -리프시츠임을 증명합니다. 이러한 스트림의 볼록 융합은 이 경계를 유지합니다.
인증: 내부 무작위성 $\Omega$ 에 대해 로짓을 평균화하면, 기대 로짓 맵 $Z(x)$ 가 $\le 2$ -리프시츠로 유지됩니다. 이를 통해 마진 기반 $\ell_2$ 인증이 가능해집니다: 상위 두 기대 로짓 간의 간격이 $\Delta(x)$ 라면, 모델은 $\|\delta\|_2 < \Delta(x)/4$ 인 모든 perturbation $\delta$ 에 대해 증명 가능한 강건성을 가집니다.

학습 및 추론

학습: 모델은 가우시안 노이즈로 교란된 입력 (무작위 평활화 스타일) 과 스트림의 내부 확률성을 통한 표준 손실 함수로 학습됩니다. 경험적 강건성을 강화하기 위해 대적적 학습도 사용됩니다.
추론: 클래스 확률에 기반한 표준 무작위 평활화 (RS) 인증과 기대 로짓에 기반한 결정론적 리프시츠 마진 인증이라는 두 가지 인증이 제공됩니다.

3. 주요 기여

HyCAS 아키텍처: 결정론적 1-리프시츠 코어와 두 개의 확률적 모듈 (스펙트럼 정규화 무작위 투영 필터 및 랜덤화된 어텐션 노이즈) 을 통합한 무작위화 리프시츠 제약 방어를 도입했습니다.
이론적 보장: HyCAS 에 대한 엄밀한 $\ell_2$ 강건성 인증을 유도하여, 네트워크가 전역적으로 $\le 2$ -리프시츠임을 증명하고 유효한 점별 인증을 제공합니다.
플러그 - 앤 - 플레이 설계: 표준 CNN 백본 (예: ResNet) 에 통합되어 공식적 인증이 가능한 무작위화 방어를 형성할 수 있는 모듈식 설계입니다.
종합 평가: 자연 이미지 (CIFAR-10/100, ImageNet) 와 의료 영상 데이터셋 (NIH Chest X-ray, HAM10000, EyePACS, NCT-CRC-HE-100K) 을 포함한 8 개의 다양한 벤치마크에서 HyCAS 가 기존 최첨단 인증 및 경험적 방어책을 능가함을 보여주는 광범위한 실험을 수행했습니다.

4. 실험 결과

본 논문은 8 개의 벤치마크에 대한 결과를 보고하며, 인증된 $\ell_2$ 정확도와 강력한 $\ell_\infty$ 공격 (APGD-20 및 AutoAttack) 에 대한 경험적 강건성을 평가합니다.

인증된 정확도: HyCAS 는 모든 노이즈 수준 ( $\sigma$ $σ$ ) 과 반지름 ( $r$ $r$ ) 에서 최첨단 인증된 정확도를 달성합니다.
- CIFAR-10에서 $r=0.75$ 및 $\sigma=0.25$ 일 때, HyCAS 는 **44.3%**의 인증된 정확도를 달성하여 최상의 베이스라인 (ARS) 보다 5.2–18.2% 더 높은 성능을 보입니다.
- ImageNet에서 $r=1.5$ 및 $\sigma=0.50$ 일 때, HyCAS 는 **32.7%**에 도달하여 베이스라인보다 2.1–32.7% 를 초과합니다.
- 의료 데이터셋에서 HyCAS 는 상당한 개선을 보여, 예를 들어 NIH Chest X-ray 에서 최상위 베이스라인 대비 7.3%, HAM10000 에서 **3.1%**까지 향상되었습니다.
경험적 강건성: HyCAS 는 깨끗한 정확도를 희생하지 않으면서 강력한 $\ell_\infty$ $ℓ_{\infty}$ 공격에 대해 높은 강건성을 유지합니다.
- NIH-CXR에서 HyCAS 는 APGD-20 및 AutoAttack 하에서 최상위 베이스라인 (CTRW) 보다 1.8–4.2% 더 높은 성능을 보입니다.
- HAM10000에서 강건한 정확도를 1.9–3.1% 향상시킵니다.
- 더 강력한 공격 설정 (교란 크기 $\epsilon$ 및 반복 단계 증가) 하에서 HyCAS 는 베이스라인보다 더 우아하게 성능이 저하되어, CIFAR-100 에서 100 단계 공격 시 **7–12%**의 우위를 유지합니다.
트레이드오프: 이 방법은 인증과 경험적 강건성 사이의 조절 가능한 트레이드오프를 제공합니다. 평활화 노이즈 $\sigma$ 를 증가시키면 큰 반지름 인증된 정확도를 향상시키면서 작은 반지름 또는 깨끗한 정확도에 미치는 영향은 최소화합니다.

5. 중요성 및 주장

본 논문은 HyCAS 가 인증된 대적적 강건성과 경험적 대적적 강건성 사이의 오랜 격차를 성공적으로 좁혔다고 주장합니다. 결정론적 리프시츠 제약 아키텍처와 내부 확률성을 결합함으로써, 이 방법은 다음을 달성합니다:

동시 개선: 이전 방법들이 일반적으로 하나를 희생하여 다른 하나를 최적화했던 것과 달리, 인증된 $\ell_2$ 정확도와 경험적 $\ell_\infty$ 강건성을 동시에 개선합니다.
일반화: 자연 이미지와 전문 의료 데이터셋을 포함한 다양한 이미지 도메인에서 효과적으로 일반화되어, 고위험 응용 분야에서의 유용성을 시사합니다.
안전성: 공식적 보장을 제공하면서도 강력한 경험적 복원력을 유지할 수 있는 능력은 중요한 분야에서 딥러닝 모델의 안전한 배포를 지원합니다.

저자들은 한계를 인정하며, 이 방법은 계산량이 많고 (FLOPs 와 추론 시간을 약 10 배 증가시킴), 이론적 보장이 현재 $\ell_2$ 교란으로 제한되어 있으며 $\ell_\infty$ 강건성은 경험적으로 평가된다고 명시합니다. 향후 연구로는 더 엄밀한 인증을 유도하고 경량화된 변형을 설계할 것을 제안합니다.