[論文レビュー] Exploring and Exploiting Decision Boundary Dynamics for Adversarial Robustness

Yuancheng Xu, Yanchao Sun+3 more|arXiv (Cornell University)|Feb 6, 2023

Adversarial Robustness in Machine Learning被引用数 10

ひとこと要約

本論文は、トレーニング中に決定境界が各データ点に対してどのように移動するかを連続時間フレームワークで研究し、Adversarial Training 下での境界ダイナミクスの対立を明らかにし、マージンを直接最適化して頑健性を向上させる Dynamics-Aware Robust Training (DyART) を提案する。CIFAR-10とTiny-ImageNetで最先端の性能を達成。

ABSTRACT

The robustness of a deep classifier can be characterized by its margins: the decision boundary's distances to natural data points. However, it is unclear whether existing robust training methods effectively increase the margin for each vulnerable point during training. To understand this, we propose a continuous-time framework for quantifying the relative speed of the decision boundary with respect to each individual point. Through visualizing the moving speed of the decision boundary under Adversarial Training, one of the most effective robust training algorithms, a surprising moving-behavior is revealed: the decision boundary moves away from some vulnerable points but simultaneously moves closer to others, decreasing their margins. To alleviate these conflicting dynamics of the decision boundary, we propose Dynamics-aware Robust Training (DyART), which encourages the decision boundary to engage in movement that prioritizes increasing smaller margins. In contrast to prior works, DyART directly operates on the margins rather than their indirect approximations, allowing for more targeted and effective robustness improvement. Experiments on the CIFAR-10 and Tiny-ImageNet datasets verify that DyART alleviates the conflicting dynamics of the decision boundary and obtains improved robustness under various perturbation sizes compared to the state-of-the-art defenses. Our code is available at https://github.com/Yuancheng-Xu/Dynamics-Aware-Robust-Training.

研究の動機と目的

• 各データ点に対する決定境界の瞬時の移動を定量化する連続時間フレームワークを定義する。
• Adversarial Training の下で境界がどのように動くかを特徴づけ・可視化し、対立するダイナミクスを明らかにする。
• マージンを直接最適化するための閉形式の勾配を導出する。
• DyART を提案し、より小さなマージンの増大を優先し、対立するダイナミクスを緩和する。
• CIFAR-10 と Tiny-ImageNet において最先端の防御と比較して DyART を経験的に検証する。

提案手法

• 各データ点に対して決定境界の速度がそのデータ点のマージンの時間微分（s(x_i,t)）となる連続時間定式化を導入する。
• モデルパラメータの勾配とパラメータ更新軌道に基づき、s(x_i,t) の閉形式表現を導出する。
• マージン R_theta(x) を決定境界への距離として定義し、ロジットマージンと区別する。
• 脆弱なポイントで正の境界速度を促進するよう、凸で減少する関数 h(R) を用いたマージンベースの損失 L^R(theta) を開発する。
• 厳密なマージンを近似するため、ソフト決定境界 Phi^y_theta(x; beta) を導入し、近似品質の下限を設定する。
• 実用的なアルゴリズム（DyART）を提供し、クリーンデータ上の標準のクロスエントロピーとソフトマージンを用いたマージンベース項を組み合わせた損失を最適化する（式 (9)）。

実験結果

リサーチクエスチョン

• RQ1 トレーニング中に個々のデータ点に対する決定境界のダイナミクスをどのように定量化できるか？
• RQ2 標準的な adversarial training 手法は、一部の脆弱点から境界が離れる一方で他の点に近づくといった対立ダイナミクスを示すか？
• RQ3 最も脆弱なデータ点のマージンを直接増加させ、対立するダイナミクスを緩和する最適化目的を設計できるか？
• RQ4 多クラス設定でマージンベースの最適化のためのマージン勾配を効率的に計算するにはどうすればよいか？
• RQ5 DyART はさまざまな摂動予算に対して最先端の防御と比較して頑健性を向上させるか？

主な発見

Defense	Clean	ε=2/255	ε=4/255	ε=8/255	ε=12/255	ε=16/255
AT	85.65 ± 0.25	79.08 ± 0.12	71.24 ± 0.28	53.20 ± 0.16	32.94 ± 0.32	16.12 ± 0.23
TRADES	82.92 ± 0.30	77.69 ± 0.16	70.68 ± 0.15	54.28 ± 0.19	36.65 ± 0.24	21.59 ± 0.31
MART	83.37 ± 0.25	76.58 ± 0.24	70.19 ± 0.18	52.91 ± 0.24	35.16 ± 0.13	18.80 ± 0.14
MMA	83.22 ± 0.38	74.24 ± 0.52	64.42 ± 0.29	44.02 ± 0.33	26.45 ± 0.21	13.78 ± 0.25
GAIRAT	86.59 ± 0.31	76.72 ± 0.28	64.64 ± 0.25	38.16 ± 0.32	19.01 ± 0.18	7.55 ± 0.17
MAIL-TRADES	83.96 ± 0.52	77.65 ± 0.33	69.11 ± 0.35	50.14 ± 0.29	31.57 ± 0.24	16.98 ± 0.15
AWP	84.27 ± 0.19	78.33 ± 0.21	70.82 ± 0.26	53.92 ± 0.17	35.24 ± 0.26	20.40 ± 0.14
DyART	85.55 ± 0.24	79.21 ± 0.14	71.73 ± 0.18	54.69 ± 0.14	35.74 ± 0.25	20.79 ± 0.18

• Adversarial Training の下で、多くの脆弱点は速度が負（マージンが減少）であり、決定境界の対立ダイナミクスを明らかにする。
• マージンの滑らかな関数に対する閉形式のマージン勾配は、直接のマージン最適化を可能にする（式6）。
• ソフトマージンとソフト境界を用いると、厳密なマージンへの近似が可能で計算コストを削減できる（命題5）。
• 小さなマージンを凸減少コスト h(R) で強調する DyART は、境界の対立を緩和し、CIFAR-10 と Tiny-ImageNet で摂動サイズ全体にわたって頑健性を改善する。
• CIFAR-10 では、DyART は 2/255、4/255、8/255 の摂動でトップの頑健性を達成し、より大きな予算でも強力な性能を発揮する。Tiny-ImageNet では、検討された予算全体で最良の頑健かつクリーン精度を示す。