Improving Certified Robustness via Adversarial Distillation

기술 요약: 적대적 증류를 통한 인증된 강건성 개선

문제 정의
신경망은 작은 입력 섭동이 오분류를 유발하는 적대적 예제(adversarial examples)에 취약하다. **적대적 훈련(Adversarial Training, AT)**은 경험적 강건성을 향상시키지만, 결과적으로 생성된 모델은 형식적 검증(formal verification)이 어렵다. 반대로, 인증된 훈련(Certified training) 방법들은 최악의 손실 상한(일반적으로 Interval Bound Propagation, 즉 IBP를 통해 계산됨)을 최적화하여 검증 가능한 모델을 생성하지만, 종종 표준 정확도가 저하되는 문제를 겪는다. 최근의 최첨단 접근 방식들은 적대적 하한(adversarial lower bounds)과 IBP 상한(upper bounds) 사이를 보간함으로써 이 문제를 해결하고자 시도한다. 그러나 표준 정확도와 인증된 정확도 사이의 트레이드오프는, 특히 섭동 반경(perturbation radii)이 커질 때 여전히 중요한 과제로 남아 있다.

방법론: AD-CERT
저자들은 적대적 지식 증류(adversarial knowledge distillation)와 IBP 경계(bounds)를 결합한 새로운 훈련 목적 함수인 AD-CERT(Adversarial Distillation for Certification)를 제안한다. 핵심 가설은 경험적으로 강건한 교사(teacher)로부터 적대적 지식을 인증된 학생(student)에게 전달하는 것이 적대적 하한에 대한 효과적인 대리물(surrogate) 역할을 하여, 표준-인증 정확도 간의 트레이드오프를 개선할 수 있다는 것이다.

AD-CERT 손실 함수는 다음 두 항의 선형 결합으로 공식화된다:
$$L_{AD-CERT} := (1 - \alpha) \underbrace{KL(P_{\theta_t}(x) \parallel P_{\theta_s}(x_{adv}))}_{\text{적대적 증류}} + \alpha \underbrace{L_{CE}(-z^{\Delta}_{\theta_s}(x, y), y)}_{\text{IBP}}$$

여기서:

• $f_{\theta_t}$는 표준 적대적 훈련(PGD)을 통해 훈련된 고정된 교사(frozen teacher) 네트워크이다.
• $f_{\theta_s}$는 인증을 위해 훈련 중인 학생(student) 네트워크이다.
• $x_{adv}$는 학생에 대해 생성된 적대적 예제이다.
• 적대적 증류(Adversarial Distillation, AD) 항은 깨끗한 입력에 대한 교사의 예측 분포($P_{\theta_t}(x)$)와 적대적 입력에 대한 학생의 예측 분포($P_{\theta_s}(x_{adv})$) 사이의 Kullback-Leibler(KL) 발산을 최소화한다.
• IBP 항은 Interval Bound Propagation을 사용하여 표준 인증 상한 손실을 계산한다.
• $\alpha \in [0, 1]$는 경험적 목적 함수와 인증 목적 함수의 균형을 맞춘다.

이론적 통찰
본 논문은 AD-CERT의 특성을 규명하는 이론적 분석을 제공한다:

1. 대리 하한(Surrogate Lower Bound): AD 항은 소프트 레이블(soft labels)을 가진 적대적 훈련과 동등한 것으로 나타나며, "교사 유도형 하한 대리물(teacher-guided lower bound surrogate)" 역할을 한다. 하드 하한(hard lower bound)을 최적화하는 표준 AT와 달리, AD-CERT는 교사의 소프트 레이블을 사용하여 적대적 예제에 대한 학생의 행동을 유도한다.
2. 스칼라화(Scalarisation): 이 목적 함수는 소프트 레이블 적대적 하한 대리물과 인증된 IBP 상한 사이의 스칼라화이다.
3. 기하학적 차이: 임의로 큰 클래스 마진을 추구하는 표준 AT와 달리, AD 브랜치는 교사의 예측 분포($\Delta z^*_{ij} = \log(P_{\theta_t}(x)_i / P_{\theta_t}(x)_j)$)에 의해 정의된 로짓 공간 내의 유한한 타겟을 유도한다. 이는 더 부드러운 최적화 지형(optimization landscape)을 시사한다.

실험 결과
저자들은 CTBench 라이브러리와 $\alpha,\beta$-CROWN 검증기를 사용하여 MNIST, CIFAR-10, TinyImageNet에 대해 AD-CERT를 평가하였다.

• 최첨단 성능(State-of-the-Art Performance): AD-CERT는 평가된 모든 ReLU 기반 아키텍처에서 최첨단 인증 정확도를 달성했다.
  • MNIST에서, 기존 방법들보다 일관되고 완만한 개선을 보여준다.
  • CIFAR-10에서, 기존의 최선 ReLU 기반 인증 정확도를 평균 0.37 퍼센티지 포인트 개선하였으며, $\epsilon = 2/255$에서 가장 큰 이득을 보였다.
  • TinyImageNet에서, AD-CERT는 비교된 모든 방법 중 가장 높은 인증 정확도를 달로 달성하였으며, 기존의 비증류(non-distillation) 인증 훈련 방법들에 비해 표준 정확도를 실질적으로 개선하였다.
• 증류 방법과의 비교: 강건한 특징 공간 증류(robust feature-space distillation)를 수행하는 CC-DIST와의 통제된 비교에서, 로짓 수준 증류(logit-level distillation)를 사용하는 AD-CERT가 더 높은 인증 정확도를 달성한 반면, CC-DIST는 약간 더 높은 표준 정확도를 유지했다. AD-CERT는 특정 설정에서 CC-DIST보다 인증 정확도를 최대 5.40 퍼센티지 포인트 높였다.
• 절제 연구(Ablation Studies):
  • 순수 증류 기법을 테스트하기 위해 IBP 구성 요소를 제거한 결과, 깨끗한 입력에 대해서만 교사를 매칭하는 것(Natural KL)은 적대적 강건성을 전달하지 못함을 확인했다.
  • 적대적 로짓 수준 증류(AD)는 경험적 종착점(empirical endpoint)으로 사용될 때, 특징 공간 증류나 다른 적대적 증류 변형(RSLAD 등)보다 교사의 강건성을 더 효과적으로 보존한다.
  • IBP 계수 $\alpha$에 대한 민감도 분석은 IBP 강도를 줄이면 표준 정확도는 향상되지만 결국 인증 정확도가 저하된다는 것을 확인해주었으며, 이는 표현력 있는 손실(expressive loss) 문헌의 추세와 일치한다.

의의 및 주장
본 논문은 AD-CERT가 경험적 강건성과 형식적 검증 사이의 간극을 성공적으로 메운다고 주장한다. 교사 유도형 로짓 수준 증류를 사용하여 경험적 종착점을 인증된 종착점(순수 IBP)으로부터 분리함으로써, 이 방법은 이전 연구들에서 발견된 밀접하게 결합된 표현력 있는 손실(tightly coupled expressive losses)의 복잡성을 피한다.

저자들은 AD-CERT가 우수한 인증 성능을 달 achieves 함에도 불구하고, 특히 더 큰 섭동 반경(예: $\epsilon = 8/255$에서의 CIFAR-10)에서 경험적으로 강건한 교사와 인증 가능한 학생 사이에는 상당한 격차가 존재함을 강조한다. 본 논문은 로짓 수준 증류가 강건성을 전달하는 효과적인 메커니즘임을 결론짓는 동시에, 표준 정확도를 희생하지 않으면서 경험적 강건성을 인증 가능한 강건성으로 전달하기 위한 더 강력한 방법론 개발이 향후 과제로 남아 있다고 밝힌다.