[論文レビュー] Bayesian Adversarial Spheres: Bayesian Inference and Adversarial Examples in a Noiseless Setting

Artur Bekasov, Iain Murray|arXiv (Cornell University)|Nov 29, 2018

Adversarial Robustness in Machine Learning参考文献 14被引用数 8

ひとこと要約

この論文は、完全な検証精度を達成するが、ノイズのない敵対的球体設定におけるベイジアン推論を調査している。深層モデルは、誤った分類に対して自信を持つが、MCMCと変分推論を用いたベイジアンロジスティック回帰により、正しくベイジアン手法がエピステーメィック不確実性を捉えることができるのは、標準的な正則化と近似推論ではそれらを検出できないことが示された。

ABSTRACT

Modern deep neural network models suffer from adversarial examples, i.e. confidently misclassified points in the input space. It has been shown that Bayesian neural networks are a promising approach for detecting adversarial points, but careful analysis is problematic due to the complexity of these models. Recently Gilmer et al. (2018) introduced adversarial spheres, a toy set-up that simplifies both practical and theoretical analysis of the problem. In this work, we use the adversarial sphere set-up to understand the properties of approximate Bayesian inference methods for a linear model in a noiseless setting. We compare predictions of Bayesian and non-Bayesian methods, showcasing the advantages of the former, although revealing open challenges for deep learning applications.

研究の動機と目的

• 完全な一般化が達成されるが、敵対的例が残存するノイズのない設定におけるエピステーメィック不確実性を調査すること。
• 標準的なディープラーニングモデルが失敗する状況で、ベイジアン手法が敵対的例を検出できるかどうかを評価すること。
• MCMC、変分推論、ブートストラップアンサンブルの性能を、敵対的条件下での不確実性の捉え方について比較すること。
• 事前分布の選択とモデルアーキテクチャが、高次元で線形分離可能な問題における不確実性推定に与える影響を調査すること。

提案手法

• アレアトリック不確実性を排除するため、決定論的なラベルを備えた2つの同心の超球体からなる合成データセットを用いる。
• 軸に沿った楕円型の意思決定境界をモデル化するため、二乗特徴を用いたベイジアンロジスティック回帰を適用する。
• 正確な事後分布近似のためMCMCを用い、標準的および階層的パrameterizationを用いた変分推論も用いる。
• 高次元で線形分離可能な設定において、弱情報的信念を反映するために広い等方的ガウス事前分布（σw = 100）を用いる。
• 各手法における分布内検証点と敵対的例のモデルの信頼度と誤差率を比較する。
• 重み空間における不確実性構造を分析するため、低次元への投影による事後分布の可視化を行う。

実験結果

リサーチクエスチョン

• RQ1 標準的手法が100％の検証精度を達成するノイズのない決定論的設定において、ベイジアン手法は敵対的例を検出できるか？
• RQ2 MCMC、変分推論、ブートストラップなどの異なる近似推論手法は、敵対的入力におけるエピステーメィック不確実性をどの程度正しく推定できるか？
• RQ3 モデル容量や事前分布の指定は、高次元で線形分離可能な問題における不確実性の捉え方に影響を与えるか？
• RQ4 データノイズが存在しない状況で、なぜ標準的な正則化技術が敵対的例を防げないのか？
• RQ5 より洗練された変分族は不確実性推定を改善できるのか、それとも優れた事後分布近似にもかかわらず、下流の性能を劣化させるのか？

主な発見

• 敵対的球体データセット上で訓練された線形モデルですら、自信を持って誤分類を生じさせることから、敵対的例はデータノイズではなくエピステーメィック不確実性に起因することが示された。
• MCMCを用いたベイジアン推論は、敵対的例に対して高い不確実性を正しく識別する一方で、分布内検証点では高い信頼度を維持している。
• ブートストラップアンサンブルは敵対的例を検出できないため、この設定ではモデルアンサンブル化がエピステーメィック不確実性を捉えていないことが示された。
• より柔軟な階層的事前分布は、真の事後分布に一致する大きな重みの大きさを許容することで、MCMCの事後分布近似を改善した。
• 標準的な変分推論近似は不確実性を低く見積もっており、大きな重みを除外しているが、事後分布近似が不十分でもベンチマークでは驚くほど良好な性能を示した。
• 変分族の複雑さを高めても下流の性能は向上しなかったため、事後分布近似の質が常に予測の成功に直結するわけではないことが示唆された。