[論文レビュー] Convergence and Margin of Adversarial Training on Separable Data

Zachary Charles, Shashank Rajput+2 more|arXiv (Cornell University)|May 22, 2019

Adversarial Robustness in Machine Learning参考文献 46被引用数 10

ひとこと要約

この論文は線形分離可能なデータにおける adversarial training を分析し、勾配ベースの更新が adversarial な例に対して多項式時間で大きなマージンを達成することを示している。標準的な勾配降下法とは異なり、これは指数的多くの反復を要する可能性がある。robust empirical risk minimization の収束速度は O(ln²(t)/t) であることが確立され、理論的保証のもとで効率的なロバストモデル学習が可能になる。

ABSTRACT

Adversarial training is a technique for training robust machine learning models. To encourage robustness, it iteratively computes adversarial examples for the model, and then re-trains on these examples via some update rule. This work analyzes the performance of adversarial training on linearly separable data, and provides bounds on the number of iterations required for large margin. We show that when the update rule is given by an arbitrary empirical risk minimizer, adversarial training may require exponentially many iterations to obtain large margin. However, if gradient or stochastic gradient update rules are used, only polynomially many iterations are required to find a large-margin separator. By contrast, without the use of adversarial examples, gradient methods may require exponentially many iterations to achieve large margin. Our results are derived by showing that adversarial training with gradient updates minimizes a robust version of the empirical risk at a $\mathcal{O}(\ln(t)^2/t)$ rate, despite non-smoothness. We corroborate our theory empirically.

研究の動機と目的

• 線形分離可能なデータにおける adversarial training の収束行動を理解すること。
• 異なる更新ルールを用いた adversarial training が、効率的に大きなマージンを達成できるかどうかを特定すること。
• クリーンデータに対する標準的勾配降下法と比較して、勾配ベースの adversarial training の収束速度を評価すること。
• adversarial training の下での robust empirical risk minimization の理論的収束速度を確立すること。
• 勾配更新を用いた adversarial training で、所定のマージンに到達するのに必要な反復回数を定量化すること。

提案手法

• 任意の経験的リスク最小化手法を用いた adversarial training を分析し、大規模なマージンを達成するには指数的多くの反復を要する可能性があることを示している。
• マージン制約を介して adversarial な例を組み込むことで、robust empirical risk 関数 ℓ_rob(w, x, y) を導入している。
• 非滑らか性にもかかわらず、adversarial な例に対する勾配または確率的勾配更新が、robust empirical risk を O(ln²(t)/t) のレートで最小化することを証明している。
• パーセプトロンおよびブースティング理論の技術、特にマージン解析と暗黙のバイアスを用いて収束バウンドを導出している。
• ジェンセンの不等式と集中不等式を適用し、平均化された反復に対する高確率収束レートを導出している。
• 合成データおよび実データセットを用いた実験により、理論的予測を検証し、勾配更新を用いた adversarial training ではマージンの収束が速いことを示している。

実験結果

リサーチクエスチョン

• RQ1 任意の更新ルールを用いた adversarial training は、線形分離可能なデータにおいて、速やかに大きなマージン分離器に収束するか？
• RQ2 adversarial な例に対する勾配ベースの更新は、多項式時間で大きなマージンを達成できるか？
• RQ3 adversarial training の収束速度は、クリーンデータに対する標準的勾配降下法と比べてどうか？
• RQ4 勾配更新を用いた adversarial training の下での robust empirical risk minimization の理論的収束速度は何か？
• RQ5 勾配降下法を用いた adversarial training において、目標マージンに到達するのに必要な反復回数は、境界がつけられるか？

主な発見

• 任意の経験的リスク最小化手法を用いた adversarial training は、線形分離可能なデータにおいて、大きなマージンを達成するためには指数的多くの反復を要する可能性がある。
• adversarial な例に対する勾配または確率的勾配更新は、robust empirical risk minimization において O(ln²(t)/t) の収束速度を達成する。
• この収束速度は、非滑らか性があるにもかかわらず、クリーンデータに対する標準的勾配降下法の速度と一致する。
• これに対して、クリーンデータに対する標準的勾配降下法は、大きなマージンに到達するためには指数的多くの反復を要する可能性がある。
• 理論的バウンドにより、勾配更新を用いた adversarial training が、所定のマージンに到達するまでに多項式的数の反復で十分であることが示された。
• 実験結果は理論を裏付け、勾配更新を用いた adversarial training ではマージンの成長が速いことが示された。