[論文レビュー] Learning perturbation sets for robust machine learning

Eric Wong, J. Zico Kolter|arXiv (Cornell University)|Jul 16, 2020

Adversarial Robustness in Machine Learning参考文献 60被引用数 40

ひとこと要約

本論文は条件付きVAEを用いて現実世界の摂動を捉えるデータ駆動の摂動集合を学習し、それらが理論的なロバスト性プロパティを満たすことを証明し、データセット全体で敵対的および検証可能なロバスト性の改善を示します。

ABSTRACT

Although much progress has been made towards robust deep learning, a significant gap in robustness remains between real-world perturbations and more narrowly defined sets typically studied in adversarial defenses. In this paper, we aim to bridge this gap by learning perturbation sets from data, in order to characterize real-world effects for robust training and evaluation. Specifically, we use a conditional generator that defines the perturbation set over a constrained region of the latent space. We formulate desirable properties that measure the quality of a learned perturbation set, and theoretically prove that a conditional variational autoencoder naturally satisfies these criteria. Using this framework, our approach can generate a variety of perturbations at different complexities and scales, ranging from baseline spatial transformations, through common image corruptions, to lighting variations. We measure the quality of our learned perturbation sets both quantitatively and qualitatively, finding that our models are capable of producing a diverse set of meaningful perturbations beyond the limited data seen during training. Finally, we leverage our learned perturbation sets to train models which are empirically and certifiably robust to adversarial image corruptions and adversarial lighting variations, while improving generalization on non-adversarial data. All code and configuration files for reproducing the experiments as well as pretrained model weights can be found at https://github.com/locuslab/perturbation_learning.

研究の動機と目的

• 現実世界の摂動に対するロバスト性を、従来の数学的脅威モデルを超えて動機づける。
• 学習された摂動集合の望ましい決定論的および確率的性質を定義する。
• CVAEベースの摂動集合がこれらの性質を理論的に満たすことを示す。
• MNIST, CIFAR-10, および多照明タスクで学習された摂動集合を用いて、堅牢なトレーニングと評価を可能にする。

提案手法

• ジェネレータ g(z, x) を介して潜在空間変換として摂動をモデル化し、z はノルムボールによって制約される。
• 摂動集合を評価するための、必要十分な尤度性プロパティを定式化する。
• 摂動を学習する条件付き変分自己符号化器（CVAE）を用い、潜在空間を prior によって制約する。
• 訓練仮定の下でCVAEがこれら二つの主要な性質を満たすことを示す理論的結果を提供する。
• MNIST-RTS、CIFAR10-C、および多照明データセットで摂動集合を評価し、下流のロバスト性手法とともに評価する。

実験結果

リサーチクエスチョン

• RQ1 CVAEによって paired データから学習された摂動集合は、現実世界の摂動を忠実にカバーできるか？
• RQ2 CVAEベースの摂動集合は包含性と高尤度性の性質を満たし、ロバストなトレーニングと評価が可能か？
• RQ3 学習された摂動集合は敵対的ロバスト性と、異なるロバスト性タスク間の一般化にどのような影響を与えるか？

主な発見

Setting	Approximation error	Expected approximation error	CVAE Recon. error	KL
MNIST-RTS	0.11	0.54	0.04	22.2
CIFAR10-C	0.005	0.029	0.001	69.3
MI	0.006	0.049	0.004	65.8

• CVAEベースの摂動集合は近似誤差が小さく、摂動データの包含性が良好であることを示す。
• ECM（Expected CVAE Reconstruction）とKL指標は、学習された摂動が意味ある尤度を持つことを示している。
• 摂動集合は、標準データ拡張や手作業による摂動と比較して、敵対的ロバスト性と一般化を改善する。
• CVAE摂動による敵対的訓練は、ベースライン手法よりも堅牢性精度を向上させる。
• 摂動学習は common corruptions や照明変化などの複雑な摂動へと拡張可能。
• CIFAR10-Cでの定量的結果は、CVAE拡張と敵対的訓練により堅牢性の高い精度が向上することを示す。