[論文レビュー] Adversarially Robust Generalization Requires More Data

Ludwig Schmidt, Shibani Santurkar+3 more|arXiv (Cornell University)|Apr 30, 2018

Adversarial Robustness in Machine Learning参考文献 22被引用数 359

ひとこと要約

この論文は、敵対的に堅牢な一般化を達成するには、標準的な一般化よりはるかに多くのデータが必要であることを証明し、ほぼ厳密な情報理論的下界を提供し、MNIST、CIFAR-10、SVHN で現象を経験的に検証している。

ABSTRACT

Machine learning models are often susceptible to adversarial perturbations of their inputs. Even small perturbations can cause state-of-the-art classifiers with high "standard" accuracy to produce an incorrect prediction with high confidence. To better understand this phenomenon, we study adversarially robust learning from the viewpoint of generalization. We show that already in a simple natural data model, the sample complexity of robust learning can be significantly larger than that of "standard" learning. This gap is information theoretic and holds irrespective of the training algorithm or the model family. We complement our theoretical results with experiments on popular image classification datasets and show that a similar gap exists here as well. We postulate that the difficulty of training robust classifiers stems, at least partially, from this inherently larger sample complexity.

研究の動機と目的

• 標準的な一般化と敵対的に堅牢な一般化の間で、サンプル複雑性がどのように異なるかという問いを動機づけ、形式化する。
• 単純なデータモデルでも堅牢な一般化にはより多くのデータが必要であることを示す情報理論的下界を提供する。
• Gaussian and Bernoulli data modelsを比較して、堅牢性に対する分布の影響を理解する。
• 堅牢化訓練を用いて、標準的なビジョンデータセット上で理論的所見を経験的に検証する。
• 堅牢性とサンプル効率に影響を与える実用的な意味とメカニズム（例：閾値処理）を提案する。

提案手法

• サンプル複雑性を研究するため、2つの単純なデータモデル（Gaussian mixture と Bernoulli）に対する l_infty 摂動下の堅牢な分類誤差を定義する。
• ガウスモデルの下で、堅牢な一般化には標準的な一般化より多くのサンプルが必要であることを示すほぼ厳密な下界を証明する（n は ε^2 sqrt(d) / log d にスケールする）。
• ベルヌーイモデルでは、非線形閾値処理が堅牢なサンプル複雑性を低減できることを示し、線形分類器とは対比をつける。
• データをサブサンプリングして、PGD アタック下での堅牢性を評価することで、MNIST、CIFAR-10、SVHN に関する理論を補完する。
• 閾値処理とデータ分布が堅牢性とサンプル効率に影響を与える様子を示し、観測された CIFAR-10 の過学習と MNIST の容易さに関連付ける。

実験結果

リサーチクエスチョン

• RQ1 単純なデータモデルにおいて、敵対的に堅牢な一般化のサンプル複雑性は標準的な一般化とどう比較されるか？
• RQ2 情報理論的下界は、学習アルゴリズムやモデルクラスに関係なく、堅牢な一般化の固有の難しさを意味するのか？
• RQ3 異なるデータ生成プロセス（Gaussian と Bernoulli）は、堅牢な一般化と潜在的な解決策（例：閾値処理）にどう影響するか？
• RQ4 実データセット（MNIST、CIFAR-10、SVHN）での経験的観察は、理論的下界と知見と一致しているか？
• RQ5 実践的なメカニズムのうち、堅牢なデータ要件を減らす、あるいは実践的な堅牢性を改善するものは何か？

主な発見

• ガウスモデルでは、堅牢な一般化は標準的な一般化よりはるかに多くのデータを必要とし、ほぼ厳密な下界として n はおおよそ ε^2 sqrt(d) / log d にスケールする。
• ベルヌーイデータモデルは、線形分類器が高い堅牢データ要件に直面することを示す一方、非線形閾値処理はより少ないサンプルで堅牢性を達成でき、分布依存の挙動を示している。
• 情報理論的下界は任意の学習アルゴリズムに適用され、高次元では小さなサンプルサイズでは堅牢誤差を低く保てないことを確立しており、次元依存のギャップをもたらす。
• MNIST、CIFAR-10、SVHN の経験的実験は、データと堅牢性のトレードオフを明確に示し、堅牢な精度のプラトーにはより大きな訓練データが必要で、理論と一致している；MNIST では閾値処理が効果的である。
• 閾値処理層は、ベルヌーイモデルの洞察に沿って、堅牢なサンプル複雑性を大幅に低減し、2値に近いデータで実践的な堅牢性を改善し得る。