[論文レビュー] A Simple Approach to Adversarial Robustness in Few-shot Image Classification

Akshayvarun Subramanya, Hamed Pirsiavash|arXiv (Cornell University)|Apr 11, 2022

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本稿では、大規模なデータセット上でベースモデルを事前に敵対的訓練し、その後、新規の少サンプルクラスに対して補正付き最近傍重心分類器を用いることで、少サンプル画像分類における敵対的ロバストネスを向上させるシンプルでスケーラブルな手法を提案する。この手法は、最小限の計算コストで最先端のメタラーニングベースの手法を上回り、検証可能にロバストな技術との統合も可能である。

ABSTRACT

Few-shot image classification, where the goal is to generalize to tasks with limited labeled data, has seen great progress over the years. However, the classifiers are vulnerable to adversarial examples, posing a question regarding their generalization capabilities. Recent works have tried to combine meta-learning approaches with adversarial training to improve the robustness of few-shot classifiers. We show that a simple transfer-learning based approach can be used to train adversarially robust few-shot classifiers. We also present a method for novel classification task based on calibrating the centroid of the few-shot category towards the base classes. We show that standard adversarial training on base categories along with calibrated centroid-based classifier in the novel categories, outperforms or is on-par with state-of-the-art advanced methods on standard benchmarks for few-shot learning. Our method is simple, easy to scale, and with little effort can lead to robust few-shot classifiers. Code is available here: \url{https://github.com/UCDvision/Simple_few_shot.git}

研究の動機と目的

• 低データ環境下における少サンプル分類器の敵対的攻撃への脆弱性を軽減すること。
• 複雑なメタラーニングを必要とせず、最小限の計算コストでロバストな一般化を達成する手法を開発すること。
• 標準的な訓練パラダイムに適合させることで、認証可能ロバスト性（例：区間境界伝播（IBP））のような高度なロバストネス技術を少サンプル学習に統合すること。
• 標準的なミニバッチ敵対的訓練が、複雑なエピソードベースのメタラーニングを必要とせずに、ロバストな少サンプル一般化を達成することを示すこと。

提案手法

• 標準的なミニバッチ敵対的訓練を用いて、大規模でクリーンなベースデータセット上で特徴抽出器と線形分類器を訓練する。
• ベース学習後、特徴抽出器を固定し、新規の少サンプルサポートセットを埋め込むために使用する。
• m 個のベースカテゴリからの重心を用いて、新規クラスの予測を精緻化する補正付き最近傍重心（CNC）分類器を適用する。
• 新規クラスの重心を、ベースカテゴリから最も近いm個の重心と平均化することで補正し、一般化性能とロバストネスを向上させる。
• 標準モデルと同一のバックボーンと訓練設定を用いるため、既存のロバストネステクニックとの簡単な統合が可能である。
• 再訓練や敵対的生成を推論時に行わず、固定された特徴抽出器と補正付き線形分類器を用いて推論を行う。

実験結果

リサーチクエスチョン

• RQ1 大規模なベースデータセット上で標準的な敵対的訓練を実施することで、メタラーニングやエピソードベースの訓練を必要とせずに、少サンプル画像分類におけるロバストネスを向上させることができるか？
• RQ2 補正付き最近傍重心（CNC）分類器は、標準的な線形分類器と比較して、少サンプル設定下でロバストネスを向上させるか？
• RQ3 提案手法を、区間境界伝播（IBP）のような検証可能ロバスト分類に拡張可能か？
• RQ4 線形分類器の訓練時に、少サンプルデータからの敵対的例を含めることは、ロバストネスを向上させるか、それとも性能を低下させるか？
• RQ5 補正に使用するベースカテゴリの重心数（m）が、最終モデルのロバストネスと精度に与える影響は何か？

主な発見

• 提案手法は、Mini-ImageNet や CIFAR-FS といった標準的な少サンプルベンチマークで、最先端または競争力のあるロバスト精度を達成し、複雑なメタラーニングベースのアプローチを上回る。
• m=2 のベースカテゴリからの重心を用いた補正付き最近傍重心（CNC）分類器が最良の性能を示し、効果的な補正には少数のベースクラスプロトタイプで十分であることが示された。
• ResNet18 を用いた Mini-ImageNet（1ショット）において、20ステップのPGD攻撃下で21.38%のロバスト精度を達成し、クリーンデータで訓練された線形分類器（19.56%）や敵対的例で訓練されたもの（18.83%）を上回った。
• この手法により、検証可能ロバスト性技術の利用が可能になった：IBPと組み合わせた場合、CIFAR-FS で23.25%の認証可能精度を達成し、認証可能ロバストネスとの互換性を示した。
• 少サンプルデータからの敵対的例を線形分類器の訓練に含めると、性能が低下することが判明し、このようなデータはベースデータに比べてロバスト一般化に効果的でないことが示された。
• 補正ステップは1回の事前処理であり、推論速度に影響を与えないため、実世界の展開において実用的である。