[論文レビュー] Adversarial Training with Complementary Labels: On the Benefit of Gradually Informative Attacks

Jianan Zhou, Jianing Zhu+5 more|arXiv (Cornell University)|Nov 1, 2022

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本稿は、サンプルが属さないクラスを示すラベル（補完的ラベル、CLs）を用いた敵対的訓練のための新規フレームワークを提案する。モデルは、ラベルが示すクラスに属さないことを学習する。段階的に情報を持つ攻撃（Warm-up Attack：段階的に増加する摂動バジェット）と、予測結果を補正損失に組み込むPseudo-Label Attack（PLA）を導入し、CIFAR10およびKuzushijiデータセットで最先端のロバスト精度を達成した。通常のラベルを用いた標準的なATに近い性能を発揮した。

ABSTRACT

Adversarial training (AT) with imperfect supervision is significant but receives limited attention. To push AT towards more practical scenarios, we explore a brand new yet challenging setting, i.e., AT with complementary labels (CLs), which specify a class that a data sample does not belong to. However, the direct combination of AT with existing methods for CLs results in consistent failure, but not on a simple baseline of two-stage training. In this paper, we further explore the phenomenon and identify the underlying challenges of AT with CLs as intractable adversarial optimization and low-quality adversarial examples. To address the above problems, we propose a new learning strategy using gradually informative attacks, which consists of two critical components: 1) Warm-up Attack (Warm-up) gently raises the adversarial perturbation budgets to ease the adversarial optimization with CLs; 2) Pseudo-Label Attack (PLA) incorporates the progressively informative model predictions into a corrected complementary loss. Extensive experiments are conducted to demonstrate the effectiveness of our method on a range of benchmarked datasets. The code is publicly available at: https://github.com/RoyalSkye/ATCL.

研究の動機と目的

• 不完全な監視情報である補完的ラベル（CLs）を用いた敵対的訓練の課題に取り組むこと。これは実用的ではあるが、未だ十分に検討されていない設定である。
• CLsを用いた敵対的訓練における根本的問題を特定・解決すること：解釈不能な敵対的最適化と低品質な敵対的例。
• 通常のラベルが利用できない状況でも、効果的な敵対的ロバスト性を実現できる新たな学習戦略を開発すること。
• 補完的ラベルを用いた敵対的訓練と、通常のラベルを用いた標準的な敵対的訓練との性能格差を縮小すること。

提案手法

• 初期学習段階で摂動バジェットを段階的に増加させるWarm-up Attackを導入し、CLsを用いた敵対的最適化の安定化を図る。
• Pseudo-Label Attack（PLA）を提案。モデルの段階的な予測結果を補正損失に組み込み、より情報量の多い攻撃を実現する。
• 二段階学習戦略を採用：まずCLsを用いて補正損失で事前学習を行い、次にPLAで生成された敵対的例で微調整する。
• 十分なデータ下で補完的リスクと通常リスクの統計的整合性を保証するため、逆方向補正損失関数を採用する。
• 攻撃の情報量を時間経過とともに増加させる訓練スケジューリングを設計し、最適化の安定性と敵対的例の品質の両方を向上させる。
• 動的摂動バジェットとモデル予測を用いたPGDベースの敵対的攻撃を採用し、CLスアップーリング下で高品質な敵対的例を生成する。

実験結果

リサーチクエスチョン

• RQ1 標準的な教師あり学習では成功しているにもかかわらず、なぜ敵対的訓練と補完的ラベル学習を直接組み合わせると失敗するのか？
• RQ2 補完的ラベルを用いた敵対的訓練で生じる不安定性と低性能の原因は何か？
• RQ3 通常のラベルが一切ない状況でも、どのようにして補完的ラベルを用いた敵対的最適化を安定化できるか？
• RQ4 補完的監視下で生成された敵対的例を、高品質かつ情報量の多いものにできるか？
• RQ5 補完的ラベルを用いた敵対的ロバスト性は、通常のラベルを用いた標準的な敵対的訓練にどの程度近づけるか？

主な発見

• 提案手法であるWarm-up+PLAは、KuzushijiでPGD20テスト精度90.50%を達成し、ベースラインおよび他のすべての手法を大きく上回った。
• CIFAR10では、PGD20精度54.58%を達成し、通常のラベルが存在しないにもかかわらず強力なロバスト性を示した。
• 二段階ベースラインは、SVHNでオラクル標準ATを上回った。これは、ノイズ混じりまたは不完全な監視情報が敵対的訓練においても利点をもたらす可能性を示唆している。
• アブレーションスタディにより、Warm-up AttackとPseudo-Label Attackの両方が不可欠であることが確認された。特に複雑なデータセットでは、いずれかを除去すると性能が著しく低下した。
• ハイパーパrameterのチューニングに対して頑健であり、$E_{\mathrm{s}}$の成長率パラメータの広い範囲で安定した性能を示した。
• 実証的分析により、提案手法が勾配消失を緩和し、勾配分散を低減することで、CLsを用いた学習の安定化に寄与していることが確認された。