[論文レビュー] Adversarial Training Can Hurt Generalization

Aditi Raghunathan, Sang Michael Xie+3 more|arXiv (Cornell University)|Jun 14, 2019

Adversarial Robustness in Machine Learning参考文献 21被引用数 144

ひとこと要約

本論文は、最適な予測子が標準精度とロバスト精度の両方に対して良好であっても、凸構成を用いることで敵対的学習が標準一般化を害する可能性を示し、ラベルなしデータを用いたロバスト自己学習がこのトレードオフを大幅に緩和することを実証している。

ABSTRACT

While adversarial training can improve robust accuracy (against an adversary), it sometimes hurts standard accuracy (when there is no adversary). Previous work has studied this tradeoff between standard and robust accuracy, but only in the setting where no predictor performs well on both objectives in the infinite data limit. In this paper, we show that even when the optimal predictor with infinite data performs well on both objectives, a tradeoff can still manifest itself with finite data. Furthermore, since our construction is based on a convex learning problem, we rule out optimization concerns, thus laying bare a fundamental tension between robustness and generalization. Finally, we show that robust self-training mostly eliminates this tradeoff by leveraging unlabeled data.

研究の動機と目的

• 凸設定において、敵対的訓練下で標準精度とロバスト精度の有限データトレードオフを示す。
• 最適化と統計を分離し、ロバスト性と一般化の基本的な対立を示す。
• ラベルなしデータを用いたロバスト自己訓練が、有限データで観察されるトレードオフを排除できることを示す。」,
• method([

提案手法

• 階段状の最適予測子を持つ凸の学習問題を構築し、それがロバストで正確である。
• 不変性集合 B(x) を定義し、二乗損失を用いて標準目的とロバスト志向目的を分析する。
• ターゲット不変性の下で標準推定量とロバスト推定量の一致性を証明する（無限データ）。
• 有限サンプル構成を用いて、小さなサンプルではロバスト訓練が標準訓練よりテスト誤差を大きくすることを示す。
• CIFAR-10をサブサンプリングして、データが増えると精度差が縮む様子を、構成に対応させて観察する。
• ロバスト自己訓練がトレードオフを緩和することを実証する。

実験結果

リサーチクエスチョン

• RQ1 ベイズ予測子がロバストかつ正確であっても、敵対的訓練は標準的な一般化を害しうるか。
• RQ2 有限データ回では、最適化の問題に依らず標準とロバスト目的の間にトレードオフが現れるか。
• RQ3 ロバスト自己訓練を介したラベルなしデータで、標準-ロバストの性能ギャップを縮めるまたは解消できるか。
• RQ4 小データ条件下で、ロバスト性が正則化として働くのか、それとも過学習の原因となるのか、どのような条件下か。

主な発見

• 凸構成により、最適予測子が両方の目的に対して良好であっても、有限データで敵対的訓練が標準一般化を悪化させうることを示す。
• 訓練サンプルサイズが増えると、ロバストと標準のテスト誤差のギャップが縮小し、データ増加がトレードオフを緩和することを示唆する。
• 追加のラベルなしデータを用いたロバスト自己訓練はトレードオフを大幅に排除し、ロバスト性を維持しつつ標準訓練と同等の性能を達成する。
• CIFAR-10およびMNIST様設定では、観測されたトレードオフは階段構造と一致し、データ量やラベルなしデータの増加がそれを低減または除去する。
• ロバスト性の効果はロバスト予測子の複雑さに依存する。ロバスト予測子が単純（例: 斜率 m=0）な場合、敵対的訓練は標準一般化を改善しうる。