Towards Fine-Grained Robustness: Attention-Guided Test-Time Prompt Tuning for Vision-Language Models

기술 요약: 비전 - 언어 모델을 위한 어텐션 기반 테스트 시간 프롬프트 튜닝

문제 제기

CLIP 과 같은 비전 - 언어 모델 (VLM) 은 다양한 하위 작업에서 놀라운 제로샷 (zero-shot) 성능을 입증해 왔습니다. 그러나 이들은 적대적 교란에 심각한 취약점을 보이며, 미세한 공격만으로도 추론 능력을 극적으로 저하시키고 참 레이블을 상위-K 예측에서 제외시킵니다. 훈련 시간 적응 방법 (예: VPT, FAP) 은 방어책을 제공하지만, 높은 계산 비용과 대량의 레이블이 지정된 적대적 데이터가 필요하여 실용성이 제한됩니다.

기존의 테스트 시간 적응 (TTA) 방법은 일반적으로 다중 뷰 증강과 엔트로피 최소화에 의존하여 세밀한 (fine-grained) 시나리오에서 어려움을 겪습니다. 이러한 방법들은 종종 무작위 영역 편집이나 특징 공간 증강을 사용하는데, 이는 세밀한 인식을 위해 필수적인 판별적 의미 영역을 실수로 파괴할 수 있습니다. 또한, 의미를 보존하는 증강 기술은 종종 특징 공간 학습이나 원래 로짓과 같은 자기지도 신호에 의존하는데, 특징 공간 자체가 원래 결정 경계를 넘어 왜곡되면 적대적 공격 하에서 레이블 보존 능력을 상실합니다.

해결하고자 하는 핵심 과제는 다음과 같습니다: 적대적 공격 하에서도 특징 공간에서 학습하지 않고도 판별적 의미 정보를 식별하고 보존하는 테스트 시간 적응 방법을 설계할 수 있는가?

방법론: A-TPT

저자들은 **어텐션 기반 테스트 시간 프롬프트 튜닝 (A-TPT)**을 제안합니다. 이는 견고한 시각적 어텐션을 의미적 앵커로 사용하여 테스트 시간 적응을 안내하는 프레임워크입니다. 이 방법은 추가적인 훈련 사전 지식이나 모델 없이 작동하며, 세 가지 핵심 구성 요소로 이루어져 있습니다:

1. 기울기 어텐션 정제 (GAR):
   표준 기울기 어텐션 롤아웃 (Gradient Attention Rollout) 은 적대적 교란에 민감하여 산발적이고 신뢰할 수 없는 어텐션 맵을 생성하는 것으로 나타났습니다. A-TPT 는 어텐션 맵의 기울기로 어텐션 행렬을 직접 가중치하는 대신 토큰 기반 기울기 신호를 사용하여 이 메커니즘을 정제합니다.

   • A-TPT 는 어텐션 맵의 기울기로 어텐션 행렬에 가중치를 부여하는 대신, 타겟 로짓에 대한 토큰 임베딩과 그 기울기의 내적을 기반으로 가중치 벡터를 계산합니다.
   • 이 접근법은 가중치를 어텐션 기울기의 2 차 민감도에서 분리하여, 공격 하에서도 판별적 영역을 강조하는 더 매끄럽고 신뢰할 수 있는 어텐션 맵을 생성합니다.
   • 노이즈를 추가로 억제하기 위해, 이 방법은 마지막 두 개의 트랜스포머 블록의 전이 행렬을 평균화합니다.

2. 어텐션 기반 다중 뷰 증강:
   정제된 어텐션 맵을 의미적 앵커로 사용하여 A-TPT 는 중요한 의미 부분을 보존하면서 다양한 뷰를 생성합니다.

   • 공간 어텐션 맵을 사용하여 이미지를 고어텐션 영역과 저어텐션 영역으로 나눕니다.
   • 고어텐션 영역(판별적 부분을 포함) 은 손상 방지를 위해 낮은 증강 강도로 보호됩니다.
   • 저어텐션 영역(종종 배경이나 관련 없는 세부 사항) 은 다양성을 생성하기 위해 더 높은 증강 강도 (예: AugMix 를 통한) 에 노출됩니다.
   • 이러한 공간적으로 변하는 증강은 생성된 뷰가 분류에 필요한 의미 부분의 무결성을 유지하도록 보장합니다.

3. TV 기반 앙상블:
   최종 추론을 위해 가장 신뢰할 수 있는 뷰를 선택하기 위해 A-TPT 는 총 변동 (Total Variation, TV) 기반 가중치 전략을 사용합니다.

   • 이 방법은 각 증강된 뷰에 대한 어텐션 맵의 이방성 총 변동 (anisotropic Total Variation) 을 계산합니다. 높은 TV 는 종종 손상된 특징이나 관련 없는 배경과 관련된 분열되거나 뾰족한 어텐션 분포를 나타냅니다.
   • 낮은 TV(더 매끄럽고 연속적인 어텐션) 를 가진 뷰는 높은 가중치를 부여받고, 높은 TV 를 가진 뷰는 가중치가 낮아집니다.
   • 최종 예측은 의미적으로 신뢰할 수 있는 어텐션 분포를 가진 것을 우선시하는 저엔트로피 뷰의 가중치 앙상블입니다.

주요 기여

1. 견고한 기울기 신호: 이 논문은 토큰 기반 기울기 신호를 도입하여 기울기 어텐션 롤아웃 메커니즘을 정제합니다. 이 간단한 수정은 적대적 공격 하에서 교란되지 않은 의미 정보를 효과적으로 식별하여 표준 어텐션 맵의 민감성을 극복합니다.
2. 세밀한 견고성을 위한 최초의 의미 안내 TTA: A-TPT 는 적응 과정을 안내하기 위해 명시적으로 판별적 의미 영역을 활용하는 첫 번째 테스트 시간 적응 방법으로 제안되었으며, 작은 중요한 세부 사항을 보존하는 것이 중요한 세밀한 인식의 도전을 특히 대상으로 합니다.
3. 종합적 성능: 광범위한 실험은 A-TPT 가 판별적 영역을 보존할 뿐만 아니라 깨끗한 데이터와 적대적 데이터 분포 모두에서 최첨단 (SOTA) 테스트 시간 적응 방법보다 크게 우수함을 입증합니다.

실험 결과

저자들은 표준 ImageNet 과 8 개의 세밀한 벤치마크 (예: OxfordPets, FGVC-Aircraft, StanfordCars) 를 포함한 9 개의 데이터셋에서 A-TPT 를 평가했습니다.

• 적대적 견고성: ViT-B/16 을 사용한 세밀한 작업에서 A-TPT 는 평균 적대적 정확도 **45.7%**를 달성하여 R-TPT(40.7%) 와 MTA(39.9%) 와 같은 SOTA 방법들을 크게 능가했습니다. ImageNet 에서는 공격 하에서 거의 0 에 가까운 CLIP 의 성능과 비교하여 48.2% 의 적대적 정확도에 도달했습니다.
• 깨끗한 정확도: A-TPT 는 또한 깨끗한 정확도를 개선하여 ViT-B/16 을 사용한 세밀한 작업에서 **63.0%**를 달성했고, R-TPT(61.1%) 와 MTA(62.4%) 를 능가했습니다.
• 일반화: 이 방법은 적대적 조건 하에서 분포 외 (OOD) 데이터셋 (ImageNet-A, V2, R, S) 에서도 강력한 성능을 유지하여, 기준 CLIP 의 0.3% 에 비해 평균 적대적 견고성 35.8% 를 달성했습니다.
• 애블레이션 연구: 실험은 세 가지 구성 요소 (정제, 증강, TV-앙상블) 가 모두 필요함을 확인했습니다. 정제 단계를 제거하면 증강 및 앙상블 모듈이 판별적 영역을 보호하는 데 실패했습니다.
• 효율성: 이 방법은 샘플별 어텐션 추출이 필요하지만, 저자들은 증강된 뷰의 수를 줄임 (예: 64 개에서 16 개로) 으로써 최소한의 정확도 손실로 추론 시간을 크게 단축할 수 있다고 지적합니다.

의의 및 주장

이 논문은 A-TPT 가 VLM 에서 세밀한 견고성을 향한 중요한 단계라고 주장합니다. 의미 식별을 훈련 단계에서 분리하고 견고한 어텐션 메커니즘을 활용함으로써, 이 방법은 레이블이 지정된 적대적 데이터를 필요로 하지 않는 효과적인 방어 패러다임을 제공합니다.

저자들은 세밀한 시나리오에서의 견고성의 열쇠는 특징 표현을 최적화하는 것뿐만 아니라 판별적 의미 부분을 식별하고 보존하는 데 있다고 강조합니다. 제안된 방법은 적응 과정이 신뢰할 수 있고 의미를 보존하는 어텐션에 의해 안내된다면, 테스트 시간 적응이 적대적 공격에 견고할 뿐만 아니라 깨끗한 데이터에서도 효과적일 수 있음을 보여줍니다.

한계점: 저자들은 A-TPT 가 다중 뷰 증강과 뷰 선택에 의존하므로 적대적 공격에 완전히 면역이 아니라고 인정합니다. 향후 작업은 잠재 공간에서 직접 판별적 의미 정보를 탐구하는 것이 제안됩니다.