[論文レビュー] Adversarial examples from computational constraints

Sébastien Bubeck, Eric Price+1 more|arXiv (Cornell University)|May 25, 2018

Adversarial Robustness in Machine Learning参考文献 15被引用数 98

ひとこと要約

論文は、敵対的脆弱性は純粋な情報理論的障壁よりも計算リソースの制限に起因する可能性があると主張し、 robust と non-robust 学習の間に SQ-hardness の分離を提供すると同時に、あるケースではサンプル効率的で情報理論的に堅牢な学習を示す。

ABSTRACT

Why are classifiers in high dimension vulnerable to "adversarial" perturbations? We show that it is likely not due to information theoretic limitations, but rather it could be due to computational constraints. First we prove that, for a broad set of classification tasks, the mere existence of a robust classifier implies that it can be found by a possibly exponential-time algorithm with relatively few training examples. Then we give a particular classification task where learning a robust classifier is computationally intractable. More precisely we construct a binary classification task in high dimensional space which is (i) information theoretically easy to learn robustly for large perturbations, (ii) efficiently learnable (non-robustly) by a simple linear separator, (iii) yet is not efficiently robustly learnable, even for small perturbations, by any algorithm in the statistical query (SQ) model. This example gives an exponential separation between classical learning and robust learning in the statistical query model. It suggests that adversarial examples may be an unavoidable byproduct of computational limitations of learning algorithms.

研究の動機と目的

• 敵対的な摂動下での堅牢な学習問題を動機づけ formalize する。
• 堅牢な学習は情報理論的には容易だが、SQ アクセス下では計算的に困難であることを示す。
• SQモデルにおいて堅牢と古典的学習の指数的分離を示す具体的なタスクを提供する。
• データ量と計算量が多項式の条件下で堅牢な学習が実現可能である条件を提供する。

提案手法

• ε-堅牢ゼロ一個損失を導入し、ノルム摂動制約の下で堅牢学習可能性を formalize する。
• 情報理論的には堅牢に学習可能だが、堅牢学習にとって SQ-hard となる高次元のハードな分布タスクを構築する。
• 構築したタスクに対して、指数的に精密なオラクルを用いた統計的クエリ（SQ）モデルを用いて、堅牢学習の指数的な SQ 下界を証明する。
• 堅牢性の実現可能性は、有限の分類器ファミリでの堅牢経験的リスク最小化（robust empirical risk minimization）を通じてサンプル効率的な堅牢学習を意味する、ということを示す。
• 連結数と生成モデル近似を関連づけて、連続分布ファミリの下での堅牢学習のサンプル複雑性を下界づける。

実験結果

リサーチクエスチョン

• RQ1 高次元タスクに対して堅牢な分類器は存在するのか、存在する場合、堅牢な学習は必ずしも計算的に解けるとは限らないのか。
• RQ2 理論的には堅牢に学習することが容易だが、SQ クエリで堅牢に学習することが困難なタスクは存在するのか。
• RQ3 堅牢な学習を合理的なサンプル複雑性で達成できる条件は何か、生成モデルはこれにどのように影響するのか。
• RQ4 生成モデルによって近似され得る分布に対する古典的学習と堅牢学習の難易度にはどのような関係があるのか。

主な発見

• 堅牢に実行可能で情報理論的には多項式リソースで学習できるが、SQモデルでは効率的に堅牢学習できない分類タスクが存在する。
• 構築された高次元タスクに対して、古典的学習と堅牢学習の間には SQ フレームワーク内で指数的な分離がある。
• 堅牢実現可能性が成り立つ場合、堅牢エンピリックリスク最小化を通じてサンプル多項式で堅牢学習を実現できる。
• 同じタスクが非堅牢には容易に学習できる一方で、小さな摂動に対して堅牢な分類器を学習するには指数関数的な SQ クエリが必要になる、という簡単な構成を示す。
• ニューロネットワークに基づく生成モデルで近似可能な分布は、適切な条件下で、被覆数を有界に保ち、サンプルが多項式で堅牢学習を可能にする。