기술 요약: 신경 유도 심층 합성곱 신경망에서 공간 주파수 의존성과 적대적 강건성 이점의 분리

문제 제기

심층 합성곱 신경망 (DCNN) 은 시각 인식 분야에서 인간 수준의 성능을 달성했지만, 치명적인 오분류를 유발하는 거의 감지되지 않는 교란에 대한 적대적 공격에 여전히 놀라울 정도로 취약합니다. 최근 연구에 따르면 DCNN 표현을 인간 시각 피질 활동과 정렬시키는 것 (신경 유도) 이 적대적 강건성을 크게 향상시킵니다. 그러나 이러한 개선을 이끄는 메커니즘은 명확하지 않습니다.

이러한 강건성에 관여하는 스펙트럼 특징과 관련하여 두 가지 경쟁 가설이 제기되었습니다:

1. 저공간 주파수 (LSF) 편향: 신경 정렬이 취약한 고주파수 질감 대신 변환 하에서 더 안정적인 거친 전역적 LSF 구조에 대한 의존을 전환시킴으로써 강건성을 향상시킬 수 있습니다.
2. 인간 채널 편향: 최근 연구는 인간 물체 인식이 좁은 중간 주파수 대역인 "인간 채널"(약 이미지당 28~56 사이클) 에 의존한다고 시사합니다. 이전의 LSF 편향화 방법 (예: 가우시안 블러) 이 우연히 이 채널을 보존하기 때문에, 강건성 향상은 일반적인 LSF 전환이 아니라 특정 중간 주파수 대역의 보존에서 비롯된 것일 수 있습니다.

본 논문은 신경 유도 (NG) 모델에서 관찰된 적대적 강건성이 LSF 증가, 인간 채널, 또는 둘 모두에 대한 인과적 의존에 의해 주도되는지 조사합니다.

방법론

1. 신경 유도 (NG) 모델의 특성 분석

저자들은 먼저 "신경 유도 (Neural Guidance, NG)"로 훈련된 DCNN 세트를 분석했는데, 여기서 네트워크의 penultimate(마지막 전) 계층은 인간 복측 시각 스트림 (V1, V2, V4, VO, PHC, LO, TO) 의 7 개 영역에서 얻은 fMRI 반응과 정렬되었습니다.

• 지표: 적대적 강건성은 다양한 교란 크기 ($\epsilon$) 에 대한 $\ell_\infty$-바운드 프로젝티드 그라디언트 디센트 (PGD) 공격 하의 top-1 정확도 곡선 아래 면적 (AUC) 으로 정량화되었습니다.
• 스펙트럼 분석: 공간 주파수 (SF) 의존성을 결정하기 위해 저자들은 각 모델에 대한 성공적인 적대적 교란을 생성했습니다. 그런 다음 이러한 교란의 푸리에 파워 스펙트럼을 계산하고 반경 방향으로 평균화하여 에너지 분포를 정규화했습니다. 특정 대역에서 더 높은 파워는 해당 주파수 범위에 대한 모델의 더 큰 의존을 나타냅니다.

2. 위상 교란을 통한 DCNN 의 명시적 편향화

인과성을 테스트하기 위해 저자들은 위상 교란 (phase-scrambling) 데이터 증강을 사용하여 명시적인 SF 편향을 가진 새로운 DCNN(ResNet-18 on ImageNet-50) 을 훈련시켰습니다. 이 방법은 이미지의 진폭 스펙트럼 (에너지) 은 보존하면서 특정 주파수 대역의 위상을 교란시켜, 해당 대역에서 구조적 정보를 제거하고 다른 대역은 유지합니다.

• 테스트된 조건:
  • 인간 채널: 28~56 cpi 대역만 보존하고 나머지는 교란.
  • 극단적 LSF: 3.5 cpi 미만의 주파수만 보존하고 나머지는 교란.
  • 고정-$\sigma$-LSF: 저주파수를 보존하는 가우시안 블러 마스크 ($\sigma=1.5$) 사용 (인간 채널과 중첩).
  • 혼합-$\sigma$-LSF: 더 넓은 LSF 선호도를 시뮬레이션하기 위해 가우시안 커널의 혼합물 사용 (인간 채널과 중첩).
  • 복합 채널: 인간 채널과 극단적 LSF 보존을 혼합한 훈련 분포.
  • 필요성 확인: 인간 채널 또는 극단적 LSF 를 선택적으로 방해 (교란) 하기 위해 역 마스크를 사용하여 그 부재가 고유하게 해로운지 테스트.

3. 표현 유사성 분석 (RSA)

SF 편향만으로도 NG 모델의 "인간과 유사한" 기하학을 재현할 수 있는지 확인하기 위해 저자들은 RSA 를 수행했습니다. SF 편향 모델의 표현 비유사 행렬 (RDM) 을 인간 V1, V4, TO 영역의 fMRI 데이터와 비교했습니다.

주요 결과

1. 신경 유도 모델에서의 상관관계

NG 모델에서 강건성 향상은 인간 채널 (Spearman's $\rho = 0.98$) 과 LSF ($\rho = 0.87$) 에 대한 의존 증가와 강력하게 상관관계가 있었습니다. 반면, 고공간 주파수 (HSF) 에 대한 의존은 강건성과 반상관관계였습니다. 이는 NG 모델이 인간 관련 대역으로 스펙트럼 의존을 전환한다는 것을 확인시켜 주었습니다.

2. 명시적 편향을 통한 인과적 분리

저자들이 훈련 중에 이러한 편향을 명시적으로 부과했을 때, 결과는 NG 모델의 행동과 뚜렷하게 달랐습니다:

• 인간 채널 편향: 인간 채널로 모델을 명시적으로 편향화하면 적대적 강건성이 악화되었습니다. 편향이 강할수록 성능이 더 나빠졌습니다.
• LSF 편향: LSF 로 모델을 편향화 (극단적 LSF, 고정-$\sigma$, 혼합-$\sigma$) 한 것은 강건성에서 소소한 개선만 가져왔습니다. 결정적으로, 이러한 이득은 조작으로 인해 유발된 SF 의존의 거대한 전환에 비해 불균형적으로 작았습니다.
• 복합 편향: 인간 채널과 LSF 를 동시에 편향화한 모델은 여전히 기준선보다 나쁜 강건성을 보였으며, 이는 인간 채널 편향의 해로운 효과가 LSF 이득으로 상쇄되지 않았음을 나타냅니다.
• 필요성: 인간 채널을 방해하면 강건성이 감소했지만, 극단적 LSF 를 방해하면 더 큰 감소가 발생하여 인간 채널이 강건성에 고유하게 필수적이지 않음을 시사했습니다.

3. 표현 기하학

SF 편향 모델은 인간 뇌의 표현 기하학을 재현하지 못했습니다.

• NG 모델은 인간 신경 표현 (V1, V4, TO) 과의 유사성이 유의미하게 증가한 반면, SF 편향 모델은 기준선에 비해 유사성 증가가 거의 없거나 전혀 없었습니다.
• NG 모델의 SF 의존 프로필을 모방한 "복합 채널" 조건조차도 표현 유사성을 개선하지 못했습니다.

주요 기여

1. 상관관계와 인과관계의 분리: 본 논문은 인간 채널과 LSF 에 대한 의존 증가가 신경 유도 모델에서 강건성과 상관관계가 있지만, 이러한 편향을 명시적으로 강제하는 것은 강건성을 생성하기에 불충분함을 보여줍니다. 실제로 인간 채널 편향을 강제하는 것은 적극적으로 해롭습니다.
2. "인간 채널" 메커니즘의 반박: 본 연구는 NG 모델의 강건성이 중간 주파수 인간 채널의 보존에 의해 주도된다는 가설을 반박합니다.
3. LSF 의 제한된 역할: LSF 편향이 소소한 강건성 이득을 제공하지만, NG 모델에서 관찰된 개선의 규모를 설명할 수 없으며 인간과 유사한 표현 기하학을 유도하지도 않습니다.
4. 발현적 속성 가설: 저자들은 변경된 SF 의존이 강건성의 주요 인과 메커니즘이 아니라, 더 인간과 유사한 표현을 학습함으로써 나타나는 발현적 속성이라고 제안합니다.

중요성과 주장

본 논문은 신경 유도가 부여하는 적대적 강건성이 공간 주파수 의존 (LSF 또는 인간 채널 모두) 의 단순한 전환에 의해 주로 주도되는 것이 아니라고 결론지었습니다. 대신, 저자들은 강건성이 관찰된 스펙트럼 편향을 2 차적 결과로 자연스럽게 초래하는 표현 공간의 더 넓은 기하학적 재구성 (예: 물체 다양체의 "풀림") 에서 비롯될 가능성이 높다고 주장합니다.

저자들은 SF 편향이 뇌와 유사한 표현의 부분적 속성이지만 주요 계산 메커니즘은 아니라는 점을 지적하며 겸손한 입장을 견지합니다. 그들은 미래 연구가 스펙트럼 특징에만 초점을 맞추기보다는 강건성을 부여하는 표현 공간의 특정 기하학적 변환을 특성화하는 데 초점을 맞춰야 한다고 제안합니다. 또한 생물학적 시스템의 개별 뉴런의 다양한 튜닝 프로필에 비해 인구 수준의 데이터 증강을 사용한다는 점에 대한 한계도 인정합니다.