[論文レビュー] A2: Efficient Automated Attacker for Boosting Adversarial Training

Zhuoer Xu, Guanghui Zhu+6 more|arXiv (Cornell University)|Oct 7, 2022

Adversarial Robustness in Machine Learning被引用数 8

ひとこと要約

本稿では、注意メカニズムを用いて学習された攻撃者空間内で動的に最適な adversarial パーティクルを探索することにより、訓練中に異なる微分可能でパラメータ化された自動攻撃者 A2 を提案する。A2 は計算コストを著しく低く抑えながら、PGD よりも強い耐性を達成し、100 ステップの PGD を上回る性能を示すが、20 ステップで実現している。また、ハイパーパramータの選択に強く依存しない。

ABSTRACT

Based on the significant improvement of model robustness by AT (Adversarial Training), various variants have been proposed to further boost the performance. Well-recognized methods have focused on different components of AT (e.g., designing loss functions and leveraging additional unlabeled data). It is generally accepted that stronger perturbations yield more robust models. However, how to generate stronger perturbations efficiently is still missed. In this paper, we propose an efficient automated attacker called A2 to boost AT by generating the optimal perturbations on-the-fly during training. A2 is a parameterized automated attacker to search in the attacker space for the best attacker against the defense model and examples. Extensive experiments across different datasets demonstrate that A2 generates stronger perturbations with low extra cost and reliably improves the robustness of various AT methods against different attacks.

研究の動機と目的

• adversarial training における固定で手動でチューニングされた攻撃者の非効率性と最適性の欠如を解決すること。
• 訓練中に各例やモデルに適応する自動的で微分可能な攻撃者を開発すること。
• 高い訓練コストを伴わずに、より強力で最悪ケースの摂動を生成することで、モデルの耐性を向上させること。
• 多様なデータセットやアーキテクチャに一般化可能な柔軟な攻撃者空間を設計すること。
• 自動攻撃者探索が標準的な PGD を上回る信頼性のある性能を示すことを実証すること。

提案手法

• A2 は、1 ステップの攻撃者セルから成るパラメータ化された攻撃者空間を構築し、各セルには摂動ブロックとステップサイズブロックが含まれる。
• 攻撃者は注意メカニズムを用いて、各例に対して離散的な攻撃手法と連続的なステップサイズをスコア付けして組み合わせる。
• 連続的なステップサイズについては、正規化された注意スコアを用いた重み付き和を用い、離散的手法については再パラメータ化トリックを適用して勾配ベース最適化を実現する。
• 攻撃者は勾配降下法を用いてエンドツーエンドに訓練され、モデルの損失を最大化することで、adversarial training の内部最大化をシミュレートする。
• A2 は訓練中にリアルタイムで動作し、事前計算や固定されたハイパーパramータを必要とせず、即座に adversarial な例を生成する。
• この手法は微分可能であり、TRADES、MART、RST などのさまざまな AT 変種と互換性がある。

実験結果

リサーチクエスチョン

• RQ1 自動的で微分可能な攻撃者が、計算コストを低く抑えながら、標準的な PGD よりも強力な摂動を生成できるか？
• RQ2 A2 の性能は、さまざまなデータセットやニューラルネットワークアーキテクチャでどのように変化するか？
• RQ3 学習率やステップサイズなどのハイパーパramータの選択に対して、A2 は頑健か？
• RQ4 A2 は他の adversarial training 手法と組み合わせて、さらなる耐性向上に有効に機能するか？
• RQ5 A2 は攻撃者の手動チューニングに比べて、adversarial 耐性の面で優れているか？

主な発見

• A2 は 20 ステップで PGD 100 ステップを上回る強い摂動を生成し、CIFAR-10 および ImageNet でより高い耐性を達成した。
• A2 は AutoAttack や C&W といった強力な攻撃に対しても、TRADES-AWP、MART-AWP、RST-AWP モデルの robust accuracy を向上させた。
• A2 はハイパーパramータに対して感受性が低く、さまざまな実験で異なる学習率やステップサイズでも一貫した性能向上を示した。
• A2 の訓練時間は 1 エポックあたりたったの 920 秒であり、ベースライン手法と同等であったため、追加の計算コストが非常に低いことが示された。
• A2 は PGD 10 を常に上回り、PGD 20 とほぼ同等の性能を示しており、効率と耐性のトレードオフにおいて優れた性能を発揮した。
• A2 の性能は複数のランダムシードで安定しており、結果の標準偏差が低かった。