[論文レビュー] Fast is better than free: Revisiting adversarial training

Eric Wong, Leslie Rice+1 more|arXiv (Cornell University)|Jan 12, 2020

Adversarial Robustness in Machine Learning参考文献 46被引用数 485

ひとこと要約

本論文は、ランダム初期化を用いたFGSM敵対的訓練が、はるかに低コストでPGDベースのロバスト性に匹敵できること、そして高速訓練技法が頑健なモデル学習を劇的に加速する一方、catastrophic overfitting と呼ばれる故障モードが発生する可能性があることを示している。

ABSTRACT

Adversarial training, a method for learning robust deep networks, is typically assumed to be more expensive than traditional training due to the necessity of constructing adversarial examples via a first-order method like projected gradient decent (PGD). In this paper, we make the surprising discovery that it is possible to train empirically robust models using a much weaker and cheaper adversary, an approach that was previously believed to be ineffective, rendering the method no more costly than standard training in practice. Specifically, we show that adversarial training with the fast gradient sign method (FGSM), when combined with random initialization, is as effective as PGD-based training but has significantly lower cost. Furthermore we show that FGSM adversarial training can be further accelerated by using standard techniques for efficient training of deep networks, allowing us to learn a robust CIFAR10 classifier with 45% robust accuracy to PGD attacks with $ε=8/255$ in 6 minutes, and a robust ImageNet classifier with 43% robust accuracy at $ε=2/255$ in 12 hours, in comparison to past work based on "free" adversarial training which took 10 and 50 hours to reach the same respective thresholds. Finally, we identify a failure mode referred to as "catastrophic overfitting" which may have caused previous attempts to use FGSM adversarial training to fail. All code for reproducing the experiments in this paper as well as pretrained model weights are at https://github.com/locuslab/fast_adversarial.

研究の動機と目的

• アドバーサリアルトレーニングを用いて、経験的に頑健な深層ネットワークへ向けたより安価で迅速な道筋を動機づける。
• 弱い敵対例（FGSM）が強力なPGD敵対例と同等の頑健性を達成できるかを評価する。
• DAWNBenchに触発された技術を取り入れて敵対的訓練を加速する（サイクル学習率、混合精度）。
• FGSMベースの頑健性を妨げる故障モードを特定し、対策を提案する。
• CIFAR-10とImageNetのベンチマークで実用的な頑健性と訓練速度を示す。

提案手法

• 敵対的訓練を、l_infty摂動（epsilon）下のロバスト最適化問題として定式化する。
• 訓練用の敵対的サンプルを生成するためにFGSMとランダム初期化を使用する。
• ロバスト性を改善するためにランダムリスタートとFGSMステップサイズの調整（例：alpha = 1.25 * epsilon）を組み込む。
• DAWNBenchに触発された訓練加速を適用：サイクル学習率と混合精度演算。
• 強力なPGD攻撃に対するロバスト性を評価し、MNIST/CIFAR-10/ImageNetでepsilonsを変えて検証する。
• 故障モードとしてのcatastrophic overfittingを特定・分析し、早期停止に基づく対策を提案する。

実験結果

リサーチクエスチョン

• RQ1 FGSM敵対訓練のランダム初期化がPGDベースの敵対訓練に対する経験的頑健性と同等を達成できるか。
• RQ2 サイクル学習率と混合精度による訓練加速が敵対訓練の効率と頑健性にどう影響するか。
• RQ3 初期化とステップサイズの選択がFGSMベースの頑健性に与える影響と、発生する故障モード（“catastrophic overfitting”）は何か。
• RQ4 高速FGSMベースの手法がCIFAR-10とImageNetで強力なPGD評価に対してどう機能するか。
• RQ5 最小限の訓練時間で頑健なモデルを得るための実践的ガイドラインは何か。

主な発見

• ランダム初期化を用いたFGSM敵対訓練がCIFAR-10でPGDベースの訓練と同等の頑健性を、コストの一部で達成できる。
• サイクル学習率と混合精度訓練を用いると収束が加速され、CIFAR-10の頑健モデルを数分、ImageNetの頑健モデルを数時間で実現可能。
• epsilon = 8/255 のCIFAR-10におけるPGD対する頑健性は、従来のPGDベースの研究とほぼ同等だが訓練時間は大幅に短縮。
• epsilon = 2/255 のImageNetの頑健モデルは、FGSMと高速技術を用いて約12時間程度で従来法と同様の頑健性を達成。
• FGSM摂動を境界まで押しつける、または0初期化を用いるとcatastrophic overfittingという故障モードが発生する可能性がある；PGD精度に基づく早期停止で頑健性を回復できる。