[論文レビュー] L 1-norm double backpropagation adversarial defense

Ismaïla Seck, Gaëlle Loosli+1 more|arXiv (Cornell University)|Mar 5, 2019

Adversarial Robustness in Machine Learning参考文献 8被引用数 5

ひとこと要約

本稿では、各出力の入力に関する勾配の$L_1$-ノルムを罰則化することで、敵対的摂動に対するモデルの感度を低減する$L_1$-ノルム二重バックプロパゲーション防御を提案する。敵対的訓練と組み合わせることで、$\varepsilon=0.3$ における敵対的例において最大97.25%の正確性を達成し、$\lambda=50$ の場合に、勾配罰則化が敵対的訓練のみに比べて堅牢性を向上させることを示している。

ABSTRACT

Adversarial examples are a challenging open problem for deep neural networks. We propose in this paper to add a penalization term that forces the decision function to be at in some regions of the input space, such that it becomes, at least locally, less sensitive to attacks. Our proposition is theoretically motivated and shows on a first set of carefully conducted experiments that it behaves as expected when used alone, and seems promising when coupled with adversarial training.

研究の動機と目的

• 微小で目に見えない摂動によって入力を誤分類するという、深層ニューラルネットワークにおける敵対的例の持続的課題に対処すること。
• 勾配罰則化によって入力摂動に対する局所的感度を低減させることで、モデルの堅牢性を向上させること。
• 出力の勾配の$L_1$-ノルムを敵対的堅牢性の正則化項として用いる理論的妥当性を裏付けること。
• $L_1$-ノルム勾配罰則化と敵対的訓練を組み合わせた有効性を評価すること。
• 学習点の周囲における意思決定関数の平坦性が、敵対的攻撃に対する堅牢性を高めるかどうかを調査すること。

提案手法

• 各出力成分$f_i$の入力$\mathbf{x}$に関する勾配の$L_1$-ノルム、すなわち$\|\nabla_{\mathbf{x}}f_i(\mathbf{x})\|_1$を罰則化することで、意思決定関数の局所的平坦性を強制する。
• 元の入力に加えて、敵対的摂動を加えた点に対しても罰則化を適用することで、近接する入力すべてに対して堅牢性を確保する。
• 1次テイラー展開を用いて、$\|\nabla_{\mathbf{x}}f_i(\mathbf{x})\|_1$の最小化が、小さな摂動$\varepsilon\mathbf{v}$に対する出力変化を制限することを示す。
• 標準的な交差エントロピー損失に勾配罰則項を追加することで、訓練プロセスに防御を統合し、正則化の強度を制御するハイパーパrameter $\lambda$ を用いる。
• FGSMによって生成された敵対的例を用いて、敵対的訓練と組み合わせて評価を行い、$\mathcal{X}=[0,1]^d$ を維持するためのラベルスムージングと入力クリッピングを実施する。
• 計算制約のため、ヤコビアンノルムは$\sum_{j=1}^d \left| \sum_{i=1}^c \frac{\partial f_i(\mathbf{x})}{\partial x_j} \right|$として近似される。

実験結果

リサーチクエスチョン

• RQ1 出力の入力に関する勾配の$L_1$-ノルムを罰則化することで、敵対的堅牢性が向上するか？
• RQ2 敵対的訓練と組み合わせた本稿で提案する$L_1$-ノルム勾配罰則化は、敵対的訓練のみに比べてより堅牢なモデルを生成するか？
• RQ3 勾配罰則化の強度（$\lambda$）が、クリーンな正確性と堅牢性のトレードオフに与える影響は？
• RQ4 意思決定関数の局所的平坦性を強制することで、敵対的摂動に対する感度が低下するか？
• RQ5 勾配の$L_1$-ノルムは、敵対的防御の正則化として理論的に妥当かつ効果的か？

主な発見

• $L_1$-ノルム勾配罰則化のみを適用しても堅牢性が向上し、クリーンな正確性は高い水準を維持（例：モデルAでは99.36%）するが、敵対的正確性は$\lambda=10$ 時に95.72%から98.73%に上昇する。
• 敵対的訓練と組み合わせた場合、モデルCでは$\varepsilon=0.3$ かつ $\lambda=50$ 時に97.25%の敵対的正確性を達成し、敵対的訓練のみ（95.52%）を上回る。
• $\lambda$ を10から50に増加させると、モデルCの敵対的正確性は96.62%から97.25%に上昇し、より強い罰則化が効果的であることを示している。
• $\lambda=1000$ の場合、敵対的正確性は94.65%に低下し、過度に高い$\lambda$ が性能を損なうことを示しており、$\lambda$ の最適範囲が存在することを示唆している。
• 複数のモデル（A, B, C）において一貫した改善が観察され、特に$\varepsilon$ 値が大きい場合に顕著な向上が見られ、強力な攻撃に対しても有効であることが示された。
• 一部の結果で大きな標準偏差が観察されたことから、100エポックでは訓練が完全に収束していない可能性があり、より長い訓練時間でさらなる改善が期待できる。