[論文レビュー] Improving Fast Adversarial Training with Prior-Guided Knowledge

Xiaojun Jia, Yong Zhang+5 more|arXiv (Cornell University)|Apr 1, 2023

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本稿では、歴史的トレーニングからの高品質な adversarial パーティクルおよびモデル重みを活用することで、Catastrophic Overfitting を防ぐ、FGSM-PGK と呼ばれる高速 adversarial training 法を提案する。prior-guided 初期化および正則化により adversarial 例の品質を向上させることで、4つのデータセットで最小限の追加トレーニングコストで最先端のロバストネスを達成する。

ABSTRACT

Fast adversarial training (FAT) is an efficient method to improve robustness. However, the original FAT suffers from catastrophic overfitting, which dramatically and suddenly reduces robustness after a few training epochs. Although various FAT variants have been proposed to prevent overfitting, they require high training costs. In this paper, we investigate the relationship between adversarial example quality and catastrophic overfitting by comparing the training processes of standard adversarial training and FAT. We find that catastrophic overfitting occurs when the attack success rate of adversarial examples becomes worse. Based on this observation, we propose a positive prior-guided adversarial initialization to prevent overfitting by improving adversarial example quality without extra training costs. This initialization is generated by using high-quality adversarial perturbations from the historical training process. We provide theoretical analysis for the proposed initialization and propose a prior-guided regularization method that boosts the smoothness of the loss function. Additionally, we design a prior-guided ensemble FAT method that averages the different model weights of historical models using different decay rates. Our proposed method, called FGSM-PGK, assembles the prior-guided knowledge, i.e., the prior-guided initialization and model weights, acquired during the historical training process. Evaluations of four datasets demonstrate the superiority of the proposed method.

研究の動機と目的

• 高速 adversarial training (FAT) における catastrophic overfitting の根本的原因を解明し、adversarial 例の品質との関連を特定すること。
• 特にマルチステップ攻撃を用いた標準的な adversarial training と比較して、FAT におけるロバストネスを維持または向上させつつトレーニングコストを低減すること。
• 追加のフォワードパスを必要とせず、歴史的トレーニング知識（例：adversarial パーティクルおよびモデル重み）を活用する手法を開発すること。
• 特に強い ℓ∞ 攻撃下でも、多様な攻撃強度および評価設定においてロバストネスを確保すること。
• 理論的および実験的に、改善された adversarial 例の品質が滑らかな損失関数の形状をもたらし、一般化性能の向上に寄与することを検証すること。

提案手法

• 歴史的トレーニングステップから抽出した高品質な adversarial パーティクルを用いた prior-guided 初期化を提案し、高速トレーニングにおける初期 adversarial 例の品質を向上させる。
• prior と adversarial パーティクルを組み合わせた prior-guided 正則化法を導入し、損失関数を滑らかにすることで、両方の種類のパerturbation に対するロバストネスを向上させる。
• 異なる減衰率を用いて歴史的チェックポイントからのモデル重みを動的に平均化する prior-guided エンsemble 法を設計し、一般化性能を向上させる。
• 内側の最大化ステップに単一ステップの FGSM 攻撃を使用するミニマックス最適化フレームワークを採用するが、性能の崩壊を防ぐために初期化および正則化を強化する。
• 3つの要素（prior-guided 初期化、prior-guided 正則化、prior-guided 重み平均化）を統合し、FGSM-PGK フレームワークを構築する。
• 理論的分析により、提案された初期化がトレーニング中における adversarial ロバストネスを維持する有効性を支持する。

実験結果

リサーチクエスチョン

• RQ1 高速 adversarial training における catastrophic overfitting が発生する理由は何か？ また、adversarial 例の品質と関連があるか？
• RQ2 歴史的トレーニングデータを活用することで、トレーニングコストを増加させずに adversarial 例の品質を向上させられるか？
• RQ3 標準的な FGSM-AT と比較して、prior-guided 初期化は時間経過に伴うロバストネス低下をどれほど効果的に防げるか？
• RQ4 初期化、正則化、モデル重みの3つの知識を統合することで、個別に使用する場合よりも優れたロバストネスが得られるか？
• RQ5 提案手法は、異なる ℓ∞ 攻撃強度および複数のデータセットにおいて、どのように性能を発揮するか？

主な発見

• FGSM-PGK は、CIFAR-10、SVHN、Tiny ImageNet、ImageNet-100 において、強力な ℓ∞ 攻撃（例：14/255）下でも catastrophic overfitting を防ぐ。これに対して、NuAT らの先行手法は失敗する。
• ResNet-18 を用いた CIFAR-10 では、PGD-10 のロバスト精度が最先端を記録し、高速および標準的な adversarial training のベースラインを上回る。
• prior-guided 初期化のみを用いても過学習を防ぎ、ロバストネスを向上させられるが、正則化および重み平均化と組み合わせることで、追加トレーニング時間が最小限に抑えられながら最良の性能が得られる。
• FGSM-PGK の損失関数の形状は、先行手法と比較して adversarial 方向においてより線形であることが示され、より平坦でロバストな損失プロファイルであることを示している。
• prior-guided 正則化法により損失関数の滑らかさが向上し、これにより prior および adversarial パーティクルに対するロバストネスが向上することが相関関係として確認された。
• 提案手法は、標準的な FGSM-AT と同等のトレーニング時間で優れたロバストネスを達成しており、実世界の展開に向けた効率的で実用的な手法である。