GRAPE: Guided Parameter-Space Evolution for Compact Adversarial Robustness

기술 요약: GRAPE (Guided Parameter-Space Evolution)

문제 정의
적대적 훈련(Adversarial Training, AT)은 신경망의 강건성을 향상시키기 위한 표준적인 접근 방식이지만, 일반적으로 최적화 가능한 파라미터 공간이 훈련 과정 전반에 걸쳐 고정되어 있다는 가정을 바탕으로 작동합니다. 모델 용량이 클수록 강건한 정확도가 향상되는 경향이 있으나, 기존 연구에 따르면 강건성이 파라미터 수와 단조 증가 관계를 갖지는 않습니다. 또한, 기존 방법들은 훈련 전 정의된 정적 총 파라미터 수가 모델의 강건한 능력을 결정한다고 가정하는 경우가 많습니다. 본 논문은 전체 파라미터 공간이 훈련 시작부터부터 모두 노출되어야 한다는 암묵적인 가정에 의문을 제기합니다. 본 논문은 최종 네트워크 구조가 변경되지 않더라도, 훈련 중에 파라미터 공간이 노출되고 확장되는 '순서'가 최종적인 강건한 솔루션에 유의미한 영향을 미칠 수 있다고 상정합니다.

방법론: GRAPE
저자들은 강건한 학습을 파라미터 공간의 노출, 안정화 및 확장의 동적인 과정으로 취급하여, 압축된 적대적 강건성을 달라는 목적으로 설계된 훈련 프레임워크인 GRAPE(Guided Parameter-Space Evolution)를 제안합니다. GRAPE는 두 가지 주요 구성 요소로 이루어져 있습니다:

1. 파라미터 공간 안정화(Parameter-Space Stabilization): AWP 및 ISEAT와 같은 로컬 스무딩(local smoothing) 기법에서 아이디어를 빌려온 이 구성 요소는 현재 파라미터 공간 내에서의 로컬 최적화 과정을 안정화합니다. 이는 훈련 목적 함수에 인스턴스 적응형 스무딩 항($L_{stab}$)을 사용하여 급격한 손실 지형(loss landscape)을 완화함으로써, 용량 확장 전후의 안정적인 강건 최적화 궤적을 보장합니다.
2. 유도된 점진적 은닉층 확장(Guided Progressive Hidden Expansion): 고정된 구조의 AT와 달리, GRAPE는 훈련 중에 새로운 최적화 가능한 차원을 점진적으로 해제합니다.
   • 메커니즘: 이 프레임워크는 축소된 은닉 용량(초기에는 표준 너비의 0.25배)에서 시작하여 시간이 지남에 따라 특정 잔차 블록(residual blocks)을 확장합니다. 새로운 은닉 채널은 모델의 기능을 즉각적으로 보존하기 위해 제로 초기화된 출력 투영(zero-initialized output projections)을 통해 거의 0에 가까운 출력을 생성하도록 초기화되며, 이를 통해 성장에 따른 매끄러운 전환을 보장합니다.
   • 가이드 전략: 어디에 용량을 확장할지 결정하기 위해, GRAPE는 **적대적 스펙트럼 활용도 점수(Adversarial Spectral Utilization Score)**를 활용합니다. 이 점수는 적대적 표현의 유효 랭크(singular value의 스펙트럼 엔트로피로부터 유도됨)를 사용하여 잔차 블록의 포스트 숏컷(post-shortcut) 출력에 대해 계산됩니다. 점수($u_l$)는 단위 은닉 용량당 지원되는 적대적 유효 차원을 나타냅니다. 점수가 높은 블록(높은 용량 압박을 나타내는 블록)이 확장 대상으로 선택됩니다.

훈련 목적 함수는 스펙트럼 활용도 점수에 의해 유도되어, 고압력 모듈에 새로운 용량을 할당하며 작은 파라미터 공간 $\Theta_0$에서 더 큰 $\Theta_T$로 진화합니다 ($\Theta_0 \subset \Theta_1 \subset \dots \subset \Theta_T$).

주요 기여

• 강건한 용량의 재개념화: 본 논문은 모델의 강건한 능력이 단순히 정적인 파라미터 수에 의해서만 설명되는 것이 아니라, 파라미터 공간의 점진적인 노출 및 확장 경로를 반드시 고려해야 한다고 주장합니다.
• GRAPE 프레임워크: 로컬 파라미터 공간 안정화와 유도된 점진적 은닉 확장을 결리한 새로운 훈련 방법으로, 모델이 처음부터 높은 차원의 공간을 탐색하는 대신 새로운 자유도를 점진적으로 흡수할 수 있게 합니다.
• 노출 경로의 실증적 검증: "Stabilized Sequential Grow" 변형(최종 ResNet-18 구조를 유지하면서 블록을 고정된 순서로 성장시킴)을 통해, 저자들은 강건성 이득이 단순히 구조적 차이 때문이 아니라 파라미터 공간의 노출 경로와 본질적으로 연결되어 있음을 입증했습니다.
• 압축성 및 효율성: 이 방법은 동일한 연산량(FLOPs) 예산 하에서 더 적은 파라미터로 더 높은 강건한 정확도를 달성하며, 이는 유도된 진화가 더 압축적이고 강건한 파라미터 구성을 형성할 수 있음을 시사합니다.

실험 결과
실험은 ResNet-18 백본을 사용하여 표준 $\ell_\infty$ 위협 모델 ($\epsilon = 8/255$) 하의 CIFAR-10 데이터셋에 대해 수행되었습니다.

• 성능: 고정 구조 ResNet-18 AT(베이스라인 PGD-20 정확도: 51.70%)와 비교하여, GRAPE는 **56.94%**의 PGD-20 강건 정확도를 달성했습니다. 이는 약 **10.1%**의 상대적 향상을 나타냅니다.
• 효율성: 이러한 향상은 연산량(FLOPs 비율 1.009×)은 거의 동일하게 유지하면서 파라미터 수를 약 21.4% 줄인 결과입니다 (Params Ratio: 0.786×).
• 어블레이션 통찰:
  • Stabilized Seq-Grow: 점수 가이드 없이 블록을 순차적으로 성장시킨(B1에서 B8까지) 변형 모델은 **56.52%**의 정확도를 달성했습니다. 이는 점진적인 노출 경로 자체가 최종적인 구조 형태와 무관하게 강건성 이득에 기여함을 확인시켜 줍니다.
  • 점수 가이드(Score Guidance): GRAPE(점수 가이드 적용)는 순차적 성장 변형보다 우수한 성능을 보였으며, 이는 스펙트럼 활용도에 기반하여 고압력 모듈에 용량을 할당하는 것이 효율성과 강건성을 더욱 향상시킨다는 것을 나타냅니다.
  • 안정화(Stabilization): 안정화와 유도된 성장(GRAPE)의 결합이 유도된 성장(AT-Grow) 단독 사용보다 우월함을 보여주었습니다.

의의 및 주장
본 논문은 적대적으로 훈련된 모델의 강건한 능력이 단순히 최종적인 정적 구조나 총 파라미터 수의 함수가 아니라고 주장합니다. 대신, 훈련 과정 중에 파라미터 공간이 어떻게 조직되고, 노출되며, 확장되는지에 의해 크게 영향을 받습니다. 표현 경로가 점진적으로 형성되고 안정화되는 발달 가소성(developmental plasticity)의 고차원적 원리를 모방함으로써, GRAPE는 동일한 연산 예산 하에서 더 압축적이고 강건한 파라미터 구성을 형성할 수 있음을 보여줍니다. 이 연구는 "용량 해제 경로(capacity release path)"가 적대적 최적화의 핵심 요소임을 시사하며, 단순히 모델 용량을 키우거나 적대적 목적 함수를 수정하는 것을 넘어선 새로운 관점을 제공합니다.

저자들은 CIFAR-10 및 ResNet-18에 집중된 점, 체계적인 하이퍼파라미터 연구의 필요성, 그리고 파라미터 공간의 진화가 적대적 최적화 기하학을 어떻게 변화시키는지에 대한 심도 있는 이론적 분석의 부재를 한계점으로 언급했습니다. 그들은 목표가 단순한 파라미터 감소가 아니라, 동적 진화를 통해 더 효율적인 강건한 구성을 형성하는 것임을 강조합니다.