[論文レビュー] Black-box Certification and Learning under Adversarial Perturbations

Hassan Ashtiani, Vinayak Pathak+1 more|arXiv (Cornell University)|Jun 30, 2020

Machine Learning and Algorithms被引用数 5

ひとこと要約

この論文は、限定的なクエリアクセス下での敵対的ロバストネスのブラックボックス認証の形式的枠組みを導入し、敵対的攻撃者のクエリ複雑性とロバスト学習のサンプル複雑性の関係を提示する。敵対的例を効率的に発見できる（多項式的クエリ複雑性を有する）場合、適切に圧縮可能な仮説クラスのロバスト学習はサンプル効率的であり、$ O(t\log^2 t) $ 個のサンプルで上界が達成され、ここで $ t = \mathrm{VC}({\mathcal{H}})/\epsilon^2 $ であることを示している。

ABSTRACT

We formally study the problem of classification under adversarial perturbations from a learner's perspective as well as a third-party who aims at certifying the robustness of a given black-box classifier. We analyze a PAC-type framework of semi-supervised learning and identify possibility and impossibility results for proper learning of VC-classes in this setting. We further introduce a new setting of black-box certification under limited query budget, and analyze this for various classes of predictors and perturbation. We also consider the viewpoint of a black-box adversary that aims at finding adversarial examples, showing that the existence of an adversary with polynomial query complexity can imply the existence of a sample efficient robust learner.

研究の動機と目的

• 分類器へのオラクルアクセスしか得られない状況での敵対的ロバストネスのブラックボックス認証を形式化すること。
• 半教師ありかつクエリ制限付きの設定下で、ロバスト学習が可能となる条件を調査すること。
• 敵対的攻撃者のクエリ複雑性とロバスト学習のサンプル複雑性の関係を調査すること。
• 有限の未ラベルデータが、データ分布の完全な知識の代わりにブラックボックス認証で使用可能かどうかを特定すること。
• 敵対的摂動下で、圧縮に基づく議論を用いてロバスト学習可能性の理論的上限を確立すること。

提案手法

• 敵対的摂動下でのロバスト分類のためのPAC型半教師あり学習枠組みを導入する。
• 仮説クラスと摂動タイプに関連するマージンクラスを定義し、ロバストネスの複雑性を分析する。
• 特定の仮説クラスおよび摂動タイプに対して、有限クエリによるブラックボックス認証を可能にするための「ワitness集合」の概念を提案する。
• 効率的な敵対的クエリアクセスがサンプル効率的ロバスト学習を意味することを示すために、圧縮に基づく学習議論を適応する。
• 完全で適切かつ効率的な敵対的攻撃者を用いて、訓練データに敵対的クエリを追加し、拡張されたセット上で標準的な圧縮を可能にする。
• ロバスト一般化誤差を、拡張されたセット上のバイナリ分類誤差に還元し、既知の圧縮から学習への関係を活用する。

実験結果

リサーチクエスチョン

• RQ1 どのような条件下で、限定的なクエリ数のみを用いてブラックボックス分類器のロバスト性を認証できるか？
• RQ2 敵対的攻撃者のクエリ複雑性と、仮説クラスのロバスト学習におけるサンプル複雑性の関係は何か？
• RQ3 有限の未ラベルデータが、ブラックボックス認証においてデータ分布の完全な知識の代わりに使用可能か？
• RQ4 マージンクラスが単純な場合、有限のVC次元を持つクラスのロバスト学習は、敵対的摂動下で可能か？
• RQ5 敵対的攻撃者が多項式的クエリ複雑性を持つ場合、ロバスト学習のサンプル複雑性はどの程度か？

主な発見

• 完全で適切かつ効率的な敵対的攻撃者が仮説クラスに対して存在する場合、$ O(t\log^2 t) $ 個のサンプルでロバスト学習が可能であり、ここで $ t = \mathrm{VC}({\mathcal{H}})/\epsilon^2 $ である。これは近似的に最適なサンプル効率性を示している。
• 適切に圧縮可能なクラスに対して多項式的クエリ攻撃者が存在する場合、ロバスト学習は標準PAC学習と比べて顕著にサンプルが多くならない。
• ブラックボックス認証は、特定のクラスおよび摂動タイプに対してのみ有限クエリで可能であり、他の場合にはクエリ複雑性が無限大になる。
• マージンクラスのVC次元が重要な役割を果たす：仮説クラスとそのマージンクラスの両方が低VC次元を持つ場合、ロバスト学習は標準学習と比べて著しく困難ではない。
• 敵対的クエリによる訓練データの拡張を通じて、ロバスト学習を標準的圧縮に還元することで、従来の知られていたものよりもタイトなサンプル複雑性の上限が得られる。
• 主結果の対偶は、ロバスト学習が困難であるならば、敵対的例の探索も同様に困難であることを示唆しており、敵対的探索と学習複雑性の間には根本的な関係があると考えられる。