🤖 machine learning

When Muon Optimizer Meets Adversarial Training: A Theoretical and Empirical Study

본 논문은 행렬 값 업데이트를 직교화하는 Muon 옵티마이저가 스펙트럼 노름 안정성을 부과함으로써 다양한 아키텍처와 위협 모델에 걸쳐 적대적 훈련의 견고성을 향상시킨다는 것을 보여주는 이론적 및 실증적 연구를 제시하여, 옵티마이저 기하학을 모델 보안의 결정적 요인으로 위치시킵니다.

원저자: Jun Yan, Weiquan Huang, Jiankai Zuo, Yujian Mo, Xi Fang, Chengliang Wu, Zeming Wei

게시일 2026-05-27

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Jun Yan, Weiquan Huang, Jiankai Zuo, Yujian Mo, Xi Fang, Chengliang Wu, Zeming Wei

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

"Muon Optimizer 가 적대적 훈련과 만날 때"라는 논문에 대한 설명을 간단한 언어와 창의적인 비유로 제시합니다.

큰 그림: 교활한 공격자에 맞서 성채를 건설하기

로봇이 고양이와 개를 인식하도록 훈련시킨다고 상상해 보세요. 당신은 로봇이 고양이 귀에 아주 작고 보이지 않는 스티커를 몰래 붙이는 경우 (적대적 공격) 에도 여전히 그것을 고양이로 정확하게 식별할 정도로 똑똑해지기를 원합니다. 이러한 교활한 속임수를 무시하도록 로봇을 훈련시키는 과정을 **적대적 훈련 (Adversarial Training, AT)**이라고 합니다.

오랫동안 이 '요새'를 건설하는 표준 도구는 SGD(확률적 경사 하강법) 라는 방법이었습니다. SGD 를 산을 오르는 매우 차분하고 신뢰할 수 있는 등산객으로 생각하세요. 그것은 느리지만, 절벽에서 떨어지는 일은 거의 없습니다.

최근에는 AdamW라는 더 빠른 새로운 도구가 인기를 얻었습니다. 지형에 따라 속도를 조절하는 제트팩을 단 등산객과 같습니다. 정상 (표준 학습) 에 훨씬 빠르게 도달하지만, '교활한 공격' 훈련 시나리오에서는 제트팩이 때때로 등산객을 흔들리게 하여 절벽에서 떨어지게 만듭니다 (낮은 보안성).

질문: 흔들림 없이 제트팩의 속도를 얻을 수 있는 방법이 있을까요?

Muon 옵티마이저 등장: '댄스 강사'

이 논문은 Muon이라는 새로운 도구를 소개합니다. 저자들은 Muon 을 댄서들을 완벽하게 정렬시키는 데 특화된 댄스 강사에 비유합니다.

표준 도구의 문제: AdamW 가 학습을 시도할 때, 로봇의 내부 '근육'(수학적 가중치) 이 너무 강하거나 불균형하게 자라게 할 때가 있습니다. 이는 바벨을 잘못 들어 척추를 부러뜨리는 웨이트리프터와 같습니다. 이러한 불안정성은 로봇을 공격에 취약하게 만듭니다.
Muon 의 해결책: Muon 은 엄격한 댄스 강사처럼 행동합니다. 로봇이 한 걸음을 내딛을 때마다 (학습을 업데이트할 때마다) Muon 은 그 동작을 점검합니다. 동작이 너무 거칠거나 불균형하면, Muon 은 로봇이 그걸 '직교화 (orthogonalize)'하도록 강요합니다.
- 비유: 로봇이 무거운 상자를 밀려고 한다고 상상해 보세요. AdamW 는 상자가 넘어질 수 있는 기괴하고 들쭉날쭉한 각도로 밀 수 있습니다. 반면 Muon 은 로봇이 무용수가 무대를 가로질러 미끄러지듯 완벽하게 곧고 균형 잡힌 선으로 상자를 밀도록 보장합니다. 이는 동작의 '형태'를 안정적으로 유지하여 로봇이 공격자들이 이용할 수 있는 '나쁜 습관'(불안정한 가중치) 을 갖는 것을 방지합니다.

논문이 발견한 것 (결과)

연구자들은 이 '댄스 강사'(Muon) 를 세 가지 다른 시나리오에서 '차분한 등산객'(SGD) 과 '제트팩 등산객'(AdamW) 과 비교하여 테스트했습니다.

1. 작은 데이터셋 (CIFAR-10 과 같은 경우)

결과: Muon 은 큰 성공을 거두었습니다. 애매하게 어려움을 겪었던 AdamW 보다 훨씬 뛰어났으며, 차분한 SGD 와는 같거나 때로는 더 좋았습니다.
교훈: 작고 관리 가능한 작업에서 Muon 의 '댄스 동작'은 훈련을 안정적이고 안전하게 유지하여 로봇이 교활한 공격에 혼란을 겪지 않도록 했습니다.

2. 비전 트랜스포머 (ViTs)

결과: 여기서 AdamW 는 정말 실패했습니다. 복잡한 '비전 트랜스포머' 모델을 훈련시키려 할 때, AdamW 는 종종 완전히 충돌하여 로봇이 essentially 무작위로 추측하는 결과를 낳았습니다. 반면 Muon 은 훈련을 안정적으로 유지하여 안전한 로봇을 만들어냈습니다.
교훈: 이러한 복잡하고 현대적인 AI 아키텍처의 경우 '댄스 강사'가 필수적이었습니다. Muon 이 없으면 훈련이 너무 혼란스러워 보안이 불가능했습니다.

3. 큰 데이터셋 (ImageNet 과 같은 경우)

결과: 수백만 장의 이미지가 포함된 거대한 데이터셋으로 이동했을 때, '차분한 등산객'(SGD) 이 여전히 챔피언이었습니다. Muon 은 좋았지만, sheer 규모에 대해 조금 더 어려움을 겪었으며 잘 작동하려면 매우 구체적인 튜닝이 필요했습니다.
교훈: Muon 은 강력한 도구이지만, 가장 크고 무거운 작업의 경우 여전히 기존 신뢰할 수 있는 방법 (SGD) 이 현재 우위를 점하고 있습니다.

마법의 '이유'

이 논문은 단순히 "작동한다"고 말하는 것을 넘어, 수학 (우리가 번역할 수 있는 부분) 을 사용하여 왜 작동하는지 설명합니다.

속도 제한: Muon 은 로봇의 내부 가중치가 어떤 단일 방향으로 얼마나 자랄 수 있는지에 '속도 제한'을 둡니다. AdamW 에서 발생하는 '통제되지 않은 성장'을 방지합니다.
안전망: AdamW 를 커브에서 속도를 높이는 브레이크가 없는 자동차로 생각하세요. Muon 은 도로가 울퉁불퉁해져도 회전하지 않도록 속도를 제한하는 거버너가 장착된 자동차와 같습니다. 수학에 대한 이러한 '속도 제한'은 로봇이 취약해지지 않도록 보장합니다.

결론

이 논문은 학습 과정을 '운전'하는 방식이 차 자체만큼이나 중요하다는 결론을 내립니다.

Muon은 특히 도로가 험난할 때 (복잡한 모델) 또는 교통량이 적을 때 (작은 데이터셋) 차를 안정적이고 안전하게 유지하는 새롭고 흥미로운 운전사입니다.
모든 것을 해결하는 마법의 지팡이는 아닙니다 (거대한 데이터셋에는 여전히 튜닝이 필요함) 하지만 보안 측면에서 현재의 '제트팩' 방법 (AdamW) 보다 큰 개선입니다.
저자들은 미래에 보안 전문가들이 단순히 '차'(모델 아키텍처) 가 아니라 선택하는 '운전사'(옵티마이저) 에 더 주의를 기울여야 한다고 제안합니다.

간단히 말해: AI 가 교활한 공격에 강하게 되기를 원한다면, Muon '댄스 강사'를 사용하는 것은 특히 현대적이고 복잡한 AI 모델의 경우 훈련을 안정적으로 유지하는 훌륭한 방법입니다.

기술 요약: 무온 (Muon) 옵티마이저와 적대적 훈련의 만남

문제 제기

적대적 훈련 (Adversarial Training, AT) 은 여전히 적대적 공격에 대한 가장 신뢰할 수 있는 경험적 방어 수단이지만, 그 강건성은 근본적인 min-max 최적화 문제를 어떻게 해결하느냐에 결정적으로 의존합니다. 관찰된 강건성으로 인해 확률적 경사 하강법 (SGD) 은 AT 의 기본 옵티마이저로 사용되지만, AdamW 와 같은 적응형 옵티마이저는 일반 훈련을 개선하는 경우가 많으나 강건성은 열악한 결과를 보입니다. 최근 무온 (Muon) 옵티마이저는 근사 극분해 (approximate polar decomposition) 를 통해 직교화된 행렬 값 업데이트를 활용하는 대규모 훈련을 위한 고성능 대안으로 등장했습니다. 그러나 강력한 이질적 위협 모델 하에서 이러한 특정 옵티마이저 기하학이 적대적 강건성에 미치는 영향은 아직 탐구되지 않았습니다. 본 논문은 다음과 같은 질문에 답합니다: 직교화된 최적화가 AT 를 개선할 수 있는가, 그리고 이 행동을 지배하는 이론적 및 경험적 메커니즘은 무엇인가?

방법론

본 연구는 무온 업데이트 규칙에 대한 이론적 분석과 다양한 아키텍처 및 위협 모델에 걸친 포괄적인 경험적 평가를 결합한 이중 접근법을 사용합니다.

이론적 분석

저자들은 무온 업데이트 규칙을 분석합니다. 여기서 모멘텀이 누적된 기울기 $M_t$ 는 가중치를 업데이트하기 전에 근사 극 인자 $U_t$ (직교화된 형태) 로 변환됩니다 ( $W_{t+1} = (1-\eta\lambda)W_t - \eta U_t$ ).

스펙트럼 노름 안정성 상한: 본 논문은 극 업데이트가 행렬 업데이트의 스펙트럼 노름에 구조적 상한을 부과함을 증명합니다. 적응형 옵티마이저가 무제한적인 스펙트럼 증가를 보일 수 있는 것과 달리, 무온의 직교화된 업데이트는 학습률, 가중치 감쇠, 그리고 근사 오차의 함수로 가중치의 스펙트럼 노름이 유계임을 보장합니다 ( $\|W_t\|_2 \leq \max(\|W_0\|_2, \frac{1+\bar{\epsilon}}{\lambda})$ ).
기울기 역학: 이론적 결과는 무온이 핵노름 (nuclear-norm) 방향으로 적대적 손실을 하강함을 나타냅니다. 이는 특히 고분산 적대적 기울기가 존재할 때 표준 기울기 단계보다 구조적으로 더 큰 단계당 하강 보장을 제공합니다.
강건성 상한: 계층 스펙트럼 노름을 유계화함으로써, 저자들은 마진 함수의 리프시츠 상수에 대한 구조적 상한을 유도하여 옵티마이저의 업데이트 기하학을 모델의 $\ell_p$ -유계 공격에 대한 강건성과 연결합니다.

경험적 평가

저자들은 내부 공격 루프로 자동 투영된 경사 하강법 (Auto Projected Gradient Descent, APGD) 을 사용하여 AT 를 위해 무온을 적용했습니다. 실험은 다음과 같이 수행되었습니다:

데이터셋: CIFAR-10 및 ImageNet.
아키텍처: PreActResNet-18, WideResNet (WRN-34-10, WRN-34-20), 그리고 비전 트랜스포머 (ViT-B, ViT-L).
위협 모델: $\ell_\infty$ , $\ell_1$ , $\ell_2$ 및 이들의 합집합.
비교 대상: SGD, AdamW, 그리고 Sharpness-Aware Minimization (SAM).

주요 기여

보안 요소로서의 옵티마이저 선택 재검토: 본 논문은 SGD 대 AdamW 비교를 넘어 적대적 훈련에서 직교화된 행렬 업데이트 기하학을 중요하지만 아직 탐구되지 않은 핵심 요소로 규명합니다.
무온의 메커니즘 분석: 저자들은 무온의 행동에 대한 이론적 설명을 제공하며, 그 극 업데이트 규칙이 행렬 값 업데이트에 연산자 노름 상한을 부과함을 입증합니다. 이는 적응형 옵티마이저에서 종종 관찰되는 불안정한 스펙트럼 증가를 방지하여 강건성 향상에 대한 진단적 설명을 제공합니다.
제어된 다중 노름 평가: 본 연구는 다양한 설정에서 SGD, AdamW, 무온을 체계적으로 비교합니다. 직교화된 업데이트 (무온) 와 샤프니스 인식 교란 (SAM) 간의 트레이드오프를 명확히 하여, 무온이 직접적인 대체제가 아닌 옵티마이저 기하학 대안으로 작용함을 보여줍니다.

주요 결과

AdamW 대비 성능: 무온은 CNN 과 ViT 모두에서 AT 환경에서 AdamW 를 크게 능가합니다. ViT 아키텍처에서 AdamW 는 종종 훈련 불안정성이나 거의 무작위 성능으로 수렴하는 고통을 겪는 반면, 무온은 안정성과 경쟁력 있는 강건성을 유지합니다.
SGD 대비 성능: 과파라미터화된 CNN(예: WRN-34-10/20) 을 사용하는 소규모 데이터셋 (CIFAR-10) 에서 무온은 SGD 와 동등하거나 더 우수한 합집합 강건성을 달성합니다. 그러나 ImageNet 과 같은 대규모 데이터셋에서는 SGD 가 현재 더 잘 수행되며, 이는 무온이 대규모에서 하이퍼파라미터 튜닝 (학습률, 웜업) 에 더 민감함을 시사합니다.
SAM 과의 비교: 무온은 SAM 이 요구하는 가중치 교란 단계의 추가 계산 비용 없이 업데이트 기하학을 개선합니다. SAM 은 종종 특정 설정에서 약간 더 높은 강건성을 달성하지만, 무온은 비교 가능한 안정성을 가진 더 효율적인 대안을 제공합니다.
강건 과적합: 본 연구는 무온이 SGD 와 마찬가지로 훈련 후기 단계에서 "강건 과적합 (robust overfitting)"에 취약함을 관찰합니다. 무온 기반 AT 에서는 조기 종료 (early stopping) 가 여전히 필수적인 전략입니다.
블랙박스 강건성: 무온으로 훈련된 모델은 강력한 전이성을 보여주며, 블랙박스 전이 공격에 대해 높은 강건성을 유지합니다. 이는 획득한 이득이 단순한 화이트박스 최적화 경로의 인공물이 아님을 시사합니다.

중요성 및 주장

본 논문은 옵티마이저 기하학이 적대적 훈련에서 보안 관련 요소임을 주장합니다. 무온을 도입함으로써 저자들은 직교화된 업데이트가 적응형 옵티마이저가 실패하는 경우 (예: 트랜스포머) 나 SAM 대비 계산 효율성이 우려되는 상황에서 SGD 를 위한 안정적인 대안을 제공할 수 있음을 입증합니다.

저자들은 무온이 SGD 를 보편적으로 지배하지는 않지만, 종종 초기 강건 최적화를 개선하는 "안정적인 직교화된 업데이트 기하학"을 제공한다는 점을 겸손하게 결론짓습니다. 연구 결과는 무온이 AT 를 위한 강력한 도구이지만, 대규모 (ImageNet) 에서의 효과성은 추가적인 하이퍼파라미터 및 스케줄 설계가 필요함을 강조합니다. 이 작업은 극분해와 스펙트럼 안정성 사이의 이론적 연결을 확립하여, 강건성을 달성하기 위해 업데이트의 기하학을 제어하는 것이 손실 지형 자체만큼 중요함을 시사합니다.