[論文レビュー] Adversarially robust transfer learning

Ali Shafahi, Parsa Saadatpanah+5 more|arXiv (Cornell University)|May 20, 2019

Adversarial Robustness in Machine Learning参考文献 26被引用数 14

ひとこと要約

この論文では、事前学習済みの敵対的に訓練されたモデルから得られる頑健な特徴抽出器を活用することで、敵対的訓練を伴わずに新しいタスクで高い精度と頑健性を達成する、敵対的頑健な転移学習を提案している。Lifelong learning手法（LwF）を用いることで、微調整中に頑健性が保持され、CIFAR-10で約2%の一般化性能向上を実現しながらも、頑健性を維持している。

ABSTRACT

Transfer learning, in which a network is trained on one task and re-purposed on another, is often used to produce neural network classifiers when data is scarce or full-scale training is too costly. When the goal is to produce a model that is not only accurate but also adversarially robust, data scarcity and computational limitations become even more cumbersome. We consider robust transfer learning, in which we transfer not only performance but also robustness from a source model to a target domain. We start by observing that robust networks contain robust feature extractors. By training classifiers on top of these feature extractors, we produce new models that inherit the robustness of their parent networks. We then consider the case of fine tuning a network by re-training end-to-end in the target domain. When using lifelong learning strategies, this process preserves the robustness of the source network while achieving high accuracy. By using such strategies, it is possible to produce accurate and robust models with little data, and without the cost of adversarial training. Additionally, we can improve the generalization of adversarially trained models, while maintaining their robustness.

研究の動機と目的

• 敵対的訓練が費用がかかり、データが乏しい低データ環境において、敵対的頑健性を達成する課題に対処すること。
• 敵対的例を再トレーニングせずに、ソースモデルからターゲットドメインへ頑健性を転送できるかを調査すること。
• 微調整中に頑健な特徴の忘れを避けるために、頑健性を保持する手法を開発すること。
• 生涯学習を用いて、頑健な特徴を転送することで、敵対的訓練済みモデルの一般化性能を向上させること。

提案手法

• 事前学習済みで敵対的訓練されたモデル（例：ImageNet上のWide-ResNet）の特徴抽出器を固定し、ターゲットデータセット上で最終分類器ヘッドのみを再トレーニングすることで、頑健性を転送する。
• Lifelong Learning without Forgetting（LwF）を用いて、ネットワーク全体を微調整しながら頑健性を保持する。特徴表現の類似性を促進する知識蒸留損失を用いる。
• ペンultimate層の活性化にℓ2-ノルム蒸留を適用し、ソースモデルと微調整済みモデル間の特徴表現の一貫性を強制する。
• トレーニングの高速化とLwFトレーニング中のオンラインフォワードパスの回避を目的として、ソースモデルの特徴をオフラインで保存する。
• ウォームスタート戦略を採用：最初に分類器ヘッドのみを訓練し、次に学習率を低くして段階的に特徴抽出器と分類器を微調整する。
• LwF損失におけるハイパーパrameter λd を用いて、頑健性と一般化性能のトレードオフを制御する。

実験結果

リサーチクエスチョン

• RQ1 敵対的訓練を伴わず、ソースモデルから新しいターゲットドメインへ頑健性を効果的に転送できるか？
• RQ2 頑健なモデルのエンドツーエンド微調整が、その敵対的頑健性を低下させるか？
• RQ3 LwFのような生涯学習手法は、微調整中に頑健な特徴の忘れを防げるか？
• RQ4 頑健な特徴転送は、敵対的訓練済みモデルの一般化性能を向上させられるか？
• RQ5 LwF正則化強度（λd）の影響は、頑健性とクリーン精度にどのような影響を与えるか？

主な発見

• ImageNetで事前学習された頑健なモデルをCIFAR-10に特徴抽出で転送したところ、敵対的訓練を一切行わず、自然精度が87.25%、PGD-20での頑健精度が45.84%に達した。
• LwFを微調整中に適用することで、ソースモデルの頑健性が保持され、クリーン検証精度が向上し、λd = 1e-7の条件下でCIFAR-10で89.07%の精度を達成した。
• CIFAR-100+データセットでは、LwFにより標準的な微調整に比べて一般化性能が約2%向上したが、頑健性は維持された。
• LwF手法により、敵対的訓練済みモデルの一般化ギャップが縮小され、CIFAR-100ではPGD-20精度がλd = 0.001の条件下で22.76%から24.31%に向上した。
• λdの選択は、頑健性と一般化性能のトレードオフに顕著な影響を与え、一部の値（例：0.1）では、頑健性とクリーン精度の両方を向上させることが分かった。
• 実験結果から、頑健性は主に特徴抽出器に起因しており、転送時にその表現を保持することが、頑健性の維持の鍵であることが示された。