[論文レビュー] Adversarial Risk and Robustness: General Definitions and Implications for the Uniform Distribution

Dimitrios I. Diochnos, Saeed Mahloujifar+1 more|arXiv (Cornell University)|Oct 29, 2018

Adversarial Robustness in Machine Learning被引用数 11

ひとこと要約

本稿は、敵対的リスクと耐性のきめ細やかな分類体系を提示し、誤り領域定義を、誤分類を保証する上で最も信頼性が高いと主張している。理論的境界を厳密に確立し、{0,1}^n 上に一様分布する入力に対して、初期誤差が 0.01 の任意の分類器は、O(√n) ハミング距離の敵対的摂動に対して脆弱であり、リスクを 0.5 乃至 1 まで引き上げられることを示している。これは一様分布下での本質的脆弱性を示唆している。

ABSTRACT

We study adversarial perturbations when the instances are uniformly distributed over $\\{0,1\\}^n$. We study both "inherent" bounds that apply to any problem and any classifier for such a problem as well as bounds that apply to specific problems and specific hypothesis classes. As the current literature contains multiple definitions of adversarial risk and robustness, we start by giving a taxonomy for these definitions based on their goals, we identify one of them as the one guaranteeing misclassification by pushing the instances to the error region. We then study some classic algorithms for learning monotone conjunctions and compare their adversarial risk and robustness under different definitions by attacking the hypotheses using instances drawn from the uniform distribution. We observe that sometimes these definitions lead to significantly different bounds. Thus, this study advocates for the use of the error-region definition, even though other definitions, in other contexts, may coincide with the error-region definition. Using the error-region definition of adversarial perturbations, we then study inherent bounds on risk and robustness of any classifier for any classification problem whose instances are uniformly distributed over $\\{0,1\\}^n$. Using the isoperimetric inequality for the Boolean hypercube, we show that for initial error $0.01$, there always exists an adversarial perturbation that changes $O(\\sqrt{n})$ bits of the instances to increase the risk to $0.5$, making classifier's decisions meaningless. Furthermore, by also using the central limit theorem we show that when $n\ o \\infty$, at most $c \\cdot \\sqrt{n}$ bits of perturbations, for a universal constant $c< 1.17$, suffice for increasing the risk to $0.5$, and the same $c \\cdot \\sqrt{n} $ bits of perturbations on average suffice to increase the risk to $1$, hence bounding the robustness by $c \\cdot \\sqrt{n}$.

研究の動機と目的

• 敵対的リスクと耐性の定義における曖昧さを解消し、その目的に基づいた分類体系を提案すること。
• 一様分布 U_n の下で単調な論理積を用いて、異なる敵対的定義を評価・比較すること。
• 入力が {0,1}^n 上に一様分布する場合に、任意の分類器に対する敵対的リスクと耐性の本質的境界を導出すること。
• 入力が一様分布する場合に、最適な分類器ですら本質的に脆弱であり、耐性が O(√n) ハミング距離で上限に達することを示すこと。

提案手法

• 敵対的リスクと耐性の3つの異なる定義を導入：誤り領域に基づく、予測変化に基づく、劣化インスタンスに基づく。
• ブール超立方体上の等周不等式を用いて、リスクを 0.5 に引き上げるのに必要な最小摂動サイズを境界化する。
• 中心極限定理を適用し、n が十分に大きい場合に、c·√n の摂動（c < 1.17）が平均的にリスクを 0.5 乃至 1 に引き上げることを示す。
• BSize 関数を用いて、誤り領域定義下での分類器誤差領域サイズと敵対的リスクの関係を定式化する。
• 補題 4.17 を用いて耐性と累積的敵対的リスクを関連付け、平均摂動サイズに関する和に基づく境界を導出する。
• Find-S およびスワッピングアルゴリズムを用いた実験的評価を通し、U_n 下での学習アルゴリズム間の耐性を比較する。

実験結果

リサーチクエスチョン

• RQ1 どの敵対的リスク定義が、敵対的例の誤分類を最も信頼性高く保証するか？
• RQ2 同じ分類器と問題に対して、異なる敵対的耐性定義がどのように異なる境界を生じるか？
• RQ3 入力が {0,1}^n 上に一様分布する場合に、任意の分類器に対する敵対的耐性の本質的限界は何か？
• RQ4 等周不等式および確率的不等式を用いて、敵対的摂動サイズのタイトな理論的境界を導出できるか？
• RQ5 Find-S やスワッピングアルゴリズムといった標準的学習アルゴリズムは、一様分布下でどのように敵対的耐性において比較されるか？

主な発見

• 誤り領域定義は、すべての敵対的例に対して誤分類を保証する唯一の定義であり、理論的分析において最も信頼性が高い。
• 一様分布する入力に対して初期誤差が 0.01 の任意の分類器について、リスクを 0.5 に引き上げる O(√n) ハミング距離の敵対的摂動が存在する。
• n → ∞ のとき、c·√n の摂動（c < 1.17）が平均的にリスクを 0.5 に引き上げるのに十分であり、同様にリスクを 1 に引き上げるのに対しても同様の平均摂動サイズが十分である。
• 誤り領域定義下での任意の分類器の耐性は c·√n で上限に達し、高次元のバイナリ空間における本質的脆弱性を示している。
• 同じ条件下で、Find-S アルゴリズムはスワッピングアルゴリズムよりも一貫してより耐性が高い仮説を生成する。
• 等周法と中心極限定理を用いて導出された理論的境界は、敵対的脆弱性がアルゴリズムに依存するのではなく、データ分布そのものに起因する本質的性質であることを確認している。