CEAR: Certified Ensemble Adversarial Robustness in DNNs

기술 요약: CEAR: DNN에서의 인증된 앙상상 적대적 강건성 (Certified Ensemble Adversarial Robustness in DNNs)

문제 정의
심층 신경망(DNN)은 표준 테스트 세트에서 높은 정확도를 달나지만, 예측을 급격하게 변화시키는 미세하고 인지하기 어려운 입력 수정인 적대적 섭동(adversarial perturbations)에는 매우 취약합니다. 이러한 취약성은 안전이 중요한 애플리케이션의 배포를 저해합니다. 기존의 방어 메커니즘은 다음 두 가지 범주로 나뉩니다:

1. 경험적 방어(Empirical Defenses): 적대적 훈련(adversarial training)이나 방어적 증류(defensive distillation)와 같은 방법은 훈련 과정에서 강건성을 향상시키지만, 공식적인 보증(formal guarantees)이 부족하며 강력한 적응형 화이트박스 공격(예: C&W, AutoAttack)에 종종 실패합니다.
2. 인증된 방어(Certified Defenses): 랜덤화된 평활화(randomized smoothing)와 같은 방법은 특정 섭동 범위 내에서 예측이 불변함을 입증하는 증명 가능한 보증을 제공합니다. 그러나 개별 분류기는 큰 섭동 반경에서 높은 인증 정확도를 유지하는 데 어려움을 겪는 경우가 많습니다.
   앙상블 방법은 집계(aggregation)를 통해 강건성을 개선하는 데 유망한 가능성을 보여주었으나, 기존 방식들은 높은 적대적 전이성(한 네트워크에 대한 공격이 다른 네트워크에서도 성공하는 현상)과 섭동 예산이 증가함에 따라 발생하는 급격한 인증 정확도 하락 문제를 겪고 있습니다.

방법론
저자들은 경험적 및 인증된 방어 메커니즘을 앙상블 훈련 파이프라인 내에서 통합하는 프레임워크인 CEAR(Certified Ensemble Adversarial Robustness)를 제안합니다. 이 방법은 두 단계로 작동합니다:

1. 강건 훈련 (Robust Training):

   • 가변 가우시안 증강 (Variable Gaussian Augmentation, VGA): 균일한 노이즈를 공유하는 표준 앙상블과 달리, CEAR는 앙상블 내의 각 네트워크를 서로 다른 노이즈 레벨로 훈련합니다. 베이스 표준 편차($\sigma_{tr}$)가 균등 분포에서 샘플링된 무작위 변수 $\beta$에 의해 섭동되어, 각 학생(student) 네트워크를 위한 고유한 노이즈 분포($\sigma_{tr} + \beta$)를 생성합니다. 이러한 다양성은 적대적 전이성을 감소시킵니다.
   • 온도 스케일링을 이용한 증류 (Distillation with Temperature Scaling, DTS): 교사(teacher) 네트워크는 소프트 라벨(온도 파라미터 $t$에 의해 평활화된 확률 분포)을 생성하도록 훈련됩니다. 이후 학생 네트워크들은 가우시안 증강된 입력을 사용하여 이 소프트 라벨을 바탕으로 훈련됩니다. 이 과정은 결정 경계(decision boundaries)를 매끄럽게 하고 클래스 간 유사성을 포착하여, 예기치 않은 공격에 대한 일반화 성능을 향상시킵니다.

2. 강건 추론 (Robust Inference):

   • 노이지 로짓 (Noisy Logits): 공격자가 원래의 로짓을 복구하는 것을 방지하기 위해(표준 증류의 취약점), 추론 시 입력 데이터에 가우시안 노이즈를 주입합니다. 이는 모델 파라미터를 수정하지 않고도 본질적으로 확률적인 로짓을 생성하여, C&W와 같은 반복적 공격에 대한 그래디언트를 은닉(obfuscate)합니다.
   • 집계 메커니즘 (Aggregation Mechanisms): CEAR는 신뢰 구간에 따라 두 가지 투표 전략을 사용합니다:
     • 기하학적 중앙값 (Geometric Median, GM): 소프트맥스 확률을 기하학적 중앙값을 사용하여 집계합니다. 이는 이상치(outlier)에 강하며, 높은 신뢰도 및 낮은 섭동 영역에서 효과적입니다.
     • 강건 가중 앙상블 (Robust Weighted Ensemble, RW): 홀드아웃 검증 세트에서의 개별 학생 네트워크의 인증 정확도에 따라 가중치를 할당합니다. 높은 인증 정확도를 가진 네트워크가 최종 예측에 더 많이 기여합니다. 이 메커니즘은 더 큰 섭동 예산과 낮은 신뢰도 구간을 처리하도록 설계되었습니다.

3. 인증 검증 (Certified Verification):
   본 논문은 앙상블 기반 분류기의 강건성을 검증하기 위해 랜덤화된 평활화 검증을 확장합니다. 저자들은 몬테카를로 샘플링을 사용하여 예측된 클래스의 확률에 대한 하한 신뢰 구간을 계산합니다. 이 구간이 0.5를 초과하면, 모델은 계산된 반경 $R$ 내에서 강건한 것으로 인증됩니다.

주요 기여

1. CEAR 프레임워크: 결정 경계의 매끄러움과 다양성을 촉진하기 위해 DTS와 VGA를 앙상블 파이프라인 내에서 결합한 통합 방어 프레임워크입니다. 이는 그래디언트 기반 공격을 방해하기 위해 추론 시 노이지 로짓을 활용하며, 클린 정확도를 회복하고 강건성을 개선하기 위해 GM 및 RW 투표를 사용합니다.
2. 확장된 검증: 저자들은 앙상블 기반 분류기의 강건성을 공식적으로 검증하기 위해 랜덤화된 평활화 검증을 확장하고, 앙상블의 강건성 반경에 대한 따름정리(corollary)를 도출했습니다.
3. 실험적 검증: MNIST, CIFAR10, TinyImageNet에 대한 광범위한 실험을 통해 CEAR가 RandSmooth 및 SWEEN과 같은 최신 베이스라인 모델들에 비해 더 큰 반경에서 더 높은 평균 인증 정확도를 달성하고, 그래디언트 기반 화이트박스 공격에 대해 더 큰 탄력성을 보임을 입증했습니다.

실험 결과

• 인증 정확도: MNIST 및 CIFAR10에서 CEAR 변체들은 베이스라인들을 능가합니다. 구체적으로, CEAR(GM)은 높은 신뢰 영역(작은 반경)에서 우수한 인증 정확도를 달성하며, CEAR(RW)는 섭동 반경이 증가하고 모델 신뢰도가 떨어짐에 따라 더 높은 정확도를 유지합니다. 예를 들어, $\sigma_v=1.0$인 CIFAR10에서 CEAR(RW)는 $R=1.0$에서 20%의 인증 정확도를 달성하여 베이스라인들을 앞질렀습니다.
• 강건 반경: CEAR(RW)는 특히 높은 섭동 하의 낮은 신뢰 영역에서 베이스라인들보다 일관되게 더 큰 인증 강건 반경을 달성합니다.
• 전이성: CEAR는 전이 가능한 공격에 대한 공격자 성공률을 유의미하게 감소시켰습니다. $\ell_\infty$ 노름 하의 CIFAR10에서, CEAR(RW)는 공격자 성공률을 RandSmooth(96.56%) 및 SWEEN(60.10%)에 비해 46.00%로 낮추었습니다.
• 계산 오버헤드: 앙상블 방법으로서 CEAR는 네트워크 수($M$)에 따라 선형적인 계산 성장을 수반합니다. 그러나 저자들은 검증 가능한 보증이 필요한 안전 중심 애플리케이션에서 이러한 오버헤드는 수용 가능한 수준이라고 언급했습니다.

의의 및 주장
본 논문은 다양성 있는 앙상블과 인증된 방어 메커니즘을 효과적으로 결합함으로써 더 큰 섭동 반경에서의 강건성을 강화하는 근본적인 과제를 CEAR가 해결한다고 주장합니다. 저자들은 집계 전략의 선택이 매우 중요하다고 강조합니다: 최적화된 기하학적 중앙값 집계는 앙상블 예측이 확신이 있을 때 선호되며, 고정된 강건 가중치는 높은 불확실성의 적대적 환경에서 더 우수합니다. 이 연구는 변동 노이즈 분포를 훈련 중에 통합하는 것이 단일 네트워크 또는 균일 앙상블 방어보다 우수한 증명 가능한 보증을 산출할 수 있음을 보여줍니다. 저자들은 향-후 연구에서 앙상블 다양성과 캘리브레이션(calibration)에 대한 DTS의 온도 스케일링의 체계적인 영향력을 조사할 것이라고 밝히며 마무리하였습니다.