기술 요약: Veriphi – 데이터셋 의존적 학습 방법을 활용한 공격 유도형 신경망 검증

1. 문제 정의

딥러닝의 안전 필수(safety-critical) 분야 도입에는 강건한 신경망 검증이 필요하다. 적대적 학습(예: PGD)은 경험적 강건성을 제공하지만, 이는 형식적 보증(formal guarantees)이 결여되어 있다. 반면, 인증된 학습 방법(예: Interval Bound Propagation, IBP)은 수학적 강건성 증명을 제공하지만, 복잡한 데이터셋에서 확장성과 정확도 측면에서 어려움을 겪는 경우가 많다.

문헌상에는 방법론 선택에 관한 중요한 공백이 존재한다. 즉, 실무자들은 특정 문제 맥락에 따라 인증된 학습을 우선시할지 또는 적대적 학습을 우선시할지에 대한 지침을 얻지 못하고 있다. 또한, 기존의 검증 도구들은 학술적 벤치마크에서 실제 규모의 모델로 확장할 때 계산 효율성과 형식적 경계(formal bounds) 확보 사이의 균형을 맞추는 데 어려움을 겪는다.

2. 방법론: Veriphi 프레임워크

저자들은 2단계 전략과 체계적인 학습 방법론 평가를 통해 이러한 과제를 해결하기 위해 설계된 GPU 가속 검증 시스템인 Veriphi를 제시한다.

2.1 검증 아키텍처

Veriphi는 다음과 같은 공격 유도형 검증 전략을 채택한다:

1. 빠른 반증 (Phase 1): 시스템은 먼저 구성 가능한 타임아웃(기본값 10초)을 가진 빠른 적대적 공격(FGSM 및 I-FGSM)을 사용하여 반례를 찾으려고 시도한다. 만약 공격이 네트워크의 출력을 반증하는 데 성공하면, 시스템은 값비싼 형식적 검증을 건너뛰고 즉시 "FALSIFIED(반증됨)" 결과를 내며 종료된다.
2. 형식적 검증 (Phase 2): 공격 단계에서 반례를 찾는 데 실패하면, 시스템은 인증된 경계를 계산하기 위해 auto-LiR_PA 라이브러리를 통한 $\alpha, \beta$-CROWN 프레임워크를 호출한다. 섭동 예산(perturbation budget) $\epsilon$ 내에서 $L_\infty$ 노름(norm)에 대해 진 클래스의 하한(lower bound)이 다른 모든 클래스의 상한(upper bound)을 초과하면 해당 네트워크는 검증된 것으로 간주된다.

2.2 학습 방법론

본 연구는 세 가지 학습 접근 방식을 체계적으로 비교한다:

• 베이스라인(Baseline): 표준 교차 엔트로피 최소화.
• PGD 적대적 학습: 투영 경사 하강법(Projected Gradient Descent)을 사용하여 섭동 예산에 대한 최악의 손실을 최적화한다.
• IBP 인증 학습: 가중치 계수 $\kappa$가 학습 중에 선형적으로 증가하는 Interval Bound Propagation을 사용하여 손실의 볼록 외곽 경계(convex outer bound)를 최적화한다.

2.3 모델 아키텍처 및 실험 설정

실험에는 ReLU 활성화 함수와 배치 정규화(batch normalization)가 없는 선형 연산을 특징으로 하는, 검증 친화적 아키텍처인 **Tiny Recursive Models (TRM-MLP)**를 사용한다.

• 데이터셋: MNIST (단순, 784 차원) 및 CIFAR-10 (복잡, 3,072 차원).
• 프로덕션 규모: 105.8M 파라미터를 가진 실제 항공우주 물류 최적화 문제(Airbus Beluga).
• 하드웨어: 듀얼 A100 GPU를 탑재한 VSC-5 슈퍼컴퓨터.

3. 주요 결과

3.1 데이터셋 의존적 학습 효과성

가장 중요한 발견은 학습 방법의 효과성이 근본적으로 데이터셋의 복잡성에 의존한다는 것이다:

• 단순 데이터셋 (MNIST): IBP 인증 학습이 적대적 학습보다 성능이 현저히 높다. $\epsilon = 0.06$에서 IBP는 **77%**의 인증 정확도를 달성한 반면, PGD는 **63%**를 기록했다.
• 복잡한 데이터셋 (CIFAR-10): IBP 학습은 의미 있는 인증을 제공하는 데 실패하여, $\epsilon \geq 0.006$에서 단 **1%**의 인증 정확도만을 달성했다. 반면 PGD 적대적 학습은 높은 성능(58–94%)을 유지한다.
• 해석: 저자들은 CIFAR-10에서 IBP의 실패 원인을 입력 차원이 증가함에 따라(784에서 3,072로) 구간 산술(interval arithmetic)에서의 과잉 근사(over-approximation) 오차가 누적되어 발생하는 공허한 경계(vacuous bounds) 때문이라고 설명한다. 경험적 방식인 PGD는 이러한 차원의 증가에도 강건함을 유지한다.

3.2 검증 효율성

공격 유도형 접근 방식은 상당한 속도 향상을 가져온다:

• 5.5배 GPU 가속: 취약한 샘플을 조기에 반증함으로써(<0.1초), 시스템은 평균 검증 시간을 순수 형식적 검증 시의 1.21초에서 0.22초로 단축한다.
• 조기 종료: MNIST($\epsilon=0.1$)에서 공격은 40%의 샘플을 성공적으로 반증하여, 해당 케이스들에 대해 형식적 검증을 완전히 회피한다.

3.3 경계 방법 비교

CROWN, $\alpha$-CROWN, $\beta$-CROWN의 비교를 통해 한계 효용이 감소함을 보여준다:

• 더 타이트한 경계($\alpha, \beta$-CROWN)는 표준 CROWN에 비해 인증 정확도 면에서 5% 미만의 개선만을 제공한다.
• 이 개선은 20–30%의 계산 시간 증가를 동반하며, 이는 표준 CROWN이 실질적인 응용 분야에서 최적의 정확도-효율성 트레이드오프를 제공함을 시사한다.

3.4 프로덕션 규모 검증

Veriphi는 Airbus Beluga 항공우주 물류를 위한 105.8M 파라미터 모델로 성공적으로 확장되었다.

• 시스템은 5%의 파라미터 섭동 하에서 제약 조건 만족(비행 용량, 랙 용량, 시간 제약)을 검증했다.
• 문제당 평균 검증 시간 2.6초로 샘플링된 문제들에 대해 40%의 검증된 강건성 비율을 달성하여, 학술적 벤치마크를 넘어선 적용 가능성을 입증했다.

4. 의의 및 주장

본 논문은 인증된 학습이 적대적 학습보다 항상 우월하다는 일반적인 가설에 도전한다고 주장한다. 대신, 맥락이 핵심적임을 강조한다:

• 단순하고 저차원인 데이터셋의 경우: 인증된 학습(IBP)이 검증 가능한 강건성을 달성하는 데 더 우수하다.
• 복잡하고 고차원인 데이터셋의 경우: IBP 경계가 너무 느슨해져 무용해지므로, 적대적 학습(PGD)이 의미 있는 인증률을 확보하는 데 더 효과적이다.

저자들은 자신의 연구가 데이터셋 복잡성을 방법론 선택의 주요 요인으로 확립한 첫 번째 체계적인 비교임을 강조한다. 또한, 공격 유도형 반증과 형식적 검증의 통합은 이론적 보증과 실제 항공우주 물류와 같은 실세계 배포 사이의 간극을 메우는 실질적인 경로를 제공한다.

결론적으로, 본 논문은 더 타이트한 경계($\alpha, \beta$-CROWN)가 미미한 이득을 제공하지만, 경험적 강건성(PGD)과 저차원 부분 공간에 대한 선택적 인증을 결합하는 것이 가장 실용적인 미래 방향이 될 수 있다는 가설을 제시하며, 이는 향후 탐구가 필요한 과제로 남겨두었다.