[論文レビュー] Interpretable Adversarial Perturbation in Input Embedding Space for Text

Motoki Sato, Jun Suzuki+2 more|arXiv (Cornell University)|May 8, 2018

Adversarial Robustness in Machine Learning参考文献 24被引用数 37

ひとこと要約

本稿では、語彙内の既存の語にのみ向かうように、語の分散表現空間における摂動を制限することにより、自然言語における解釈可能な adversarial training を提案する。この手法により、敵対的例を意味のある文レベルの語置換として直接再構成可能となり、モデルの性能を維持または向上させながら、人間が解釈可能な敵対的テキストおよび可視化を生成する。従来の勾配ベースの敵対的訓練手法で失われた解釈可能性を回復する。

ABSTRACT

Following great success in the image processing field, the idea of adversarial training has been applied to tasks in the natural language processing (NLP) field. One promising approach directly applies adversarial training developed in the image processing field to the input word embedding space instead of the discrete input space of texts. However, this approach abandons such interpretability as generating adversarial texts to significantly improve the performance of NLP tasks. This paper restores interpretability to such methods by restricting the directions of perturbations toward the existing words in the input embedding space. As a result, we can straightforwardly reconstruct each input with perturbations to an actual text by considering the perturbations to be the replacement of words in the sentence while maintaining or even improving the task performance.

研究の動機と目的

• 連続的な分散表現空間における摂動が実際に存在する語に簡単に対応できないため、NLPにおける勾配ベースの敵対的訓練には解釈可能性に欠如していること。
• 敵対的例を実際に文の修正（例：語の置換）として解釈可能に生成するが、敵対的訓練の正則化効果を維持する手法を開発すること。
• 研究者がブラックボックスのニューラルモデルを分析できるようにするため、人間が読み取れる摂動を伴う敵対的テキストを生成すること。

提案手法

• 語彙内に存在する語の位置に向かうように、入力の分散表現空間における敵対的摂動を制限する。
• 文内の各語について、損失を最大化する摂動方向を計算し、最も近い既存の語の分散表現をターゲット方向として選択する。
• 摂動ベクトルを各語の分散表現ベクトルに射影した際の最大値を用いて、最も関連のある語置換を特定する。
• この制約を敵対的訓練（iAdvT-Text）および仮想敵対的訓練（iVAT-Text）に適用し、ベースライン手法と同一の訓練目的を維持する。
• 摂動方向に従い、元の語を分散表現空間内で最も近い既存の語に置換することで、敵対的テキストを再構成する。
• 摂動を可視化する際には、摂動ベクトルと最も高いコサイン類似度を持つ語を選択することで、解釈可能なモデル分析を可能にする。

実験結果

リサーチクエスチョン

• RQ1 入力分散表現空間における敵対的摂動を、語彙内に存在する語にのみ向かうように制限できるか。これにより、解釈可能な敵対的テキスト生成が可能になるか。
• RQ2 既存の語の分散表現に摂動を制限すると、モデルの性能が低下するか。それとも、従来の手法と同様に一般化性能を維持または向上できるか。
• RQ3 得られた敵対的例を、モデルをだます意味のある自然な文の修正（例：語の置換）として明確に再構成できるか。
• RQ4 解釈可能な摂動とそうでない摂動とを比較した場合、モデル挙動の可視化やモデルの弱みの特定において、どちらが優れているか。
• RQ5 本手法は、意味的に妥当で効果的な敵対的テキストを生成できるか。

主な発見

• 提案手法 iAdvT-Text は、感情分類（SEC）、カテゴリ分類（CAC）、文法的誤り検出（GED）のベンチマークで最先端の性能を達成し、ベースラインの AdvT-Text と同等またはそれを上回った。
• iAdvT-Text は、意味的に妥当な代替語（例：'this' → 'that'）への置換により、敵対的テキストを効果的に生成した。これにより、文の意味は保ちつつモデルの誤分類を引き起こした。
• 可視化結果から、iAdvT-Text の摂動は一貫して意味のある語置換（例：'practise' → 'play'）を指していたのに対し、ベースラインの AdvT-Text は解釈不能な置換（例：'<eos>' → 'Analyze'）を生成していた。
• 本手法は、摂動方向に対する強い制約下でも、モデルの一般化性能を維持または向上させた。解釈可能性が性能の低下を伴うものではないことが示された。
• iAdvT-Text を用いて生成された敵対的例は、モデルをだますのに効果的であった（例：感情分類で 'Negative' を 'Positive' に変更）。文法的に整合性があり、意味的にも妥当なままであった。
• 本手法により、研究者がブラックボックスモデルを分析できるようになった。特定の語の選択にモデルがどれほど敏感であるかを明らかにする敵対的テキストを生成でき、モデルの解釈可能性と耐性分析が向上した。