[論文レビュー] Learning to Generate Noise for Multi-Attack Robustness

Divyam Madaan, Jinwoo Shin+1 more|arXiv (Cornell University)|Jun 22, 2020

Adversarial Robustness in Machine Learning被引用数 6

ひとこと要約

本稿では、メタ学習フレームワークとして、アドバーシャルコンシステシーを用いたメタノイズジェネレータ（MNG-AC）を提案する。MNG-ACは、インスタンス固有の摂動を生成するノイズジェネレータを訓練することで、複数のアドバーシャル攻撃に対して耐性を高める。確率的アドバーシャル訓練を用いて、クリーンデータ、アドバーシャルデータ、ノイズ付加データの間でラベルの整合性を保つことで、計算コストを最小限に抑えつつ、最先端のマルチアタック耐性を達成する。

ABSTRACT

Adversarial learning has emerged as one of the successful techniques to circumvent the susceptibility of existing methods against adversarial perturbations. However, the majority of existing defense methods are tailored to defend against a single category of adversarial perturbation (e.g. $\ell_\infty$-attack). In safety-critical applications, this makes these methods extraneous as the attacker can adopt diverse adversaries to deceive the system. Moreover, training on multiple perturbations simultaneously significantly increases the computational overhead during training. To address these challenges, we propose a novel meta-learning framework that explicitly learns to generate noise to improve the model's robustness against multiple types of attacks. Its key component is Meta Noise Generator (MNG) that outputs optimal noise to stochastically perturb a given sample, such that it helps lower the error on diverse adversarial perturbations. By utilizing samples generated by MNG, we train a model by enforcing the label consistency across multiple perturbations. We validate the robustness of models trained by our scheme on various datasets and against a wide variety of perturbations, demonstrating that it significantly outperforms the baselines across multiple perturbations with a marginal computational cost.

研究の動機と目的

• 既存の防御手法が単一のアドバーシャル攻撃に対してのみ有効であるという限界を解消し、実世界の安全が求められるシステムに適した耐性を実現すること。
• 複数の摂動を同時に考慮するモデルのトレーニングにかかる高い計算コストを低減すること。
• クリーンデータ、アドバーシャルデータ、ノイズ付加データの入力においてラベルの一貫性を強制することで、多様なアドバーシャル攻撃に対してモデルの一般化性能と耐性を向上させること。
• 標準的なマルチ摂動アドバーシャルトレーニングと比較して、トレーニングのオーバーヘッドを最小限に抑えつつ高い耐性を維持できるスケーラブルなトレーニングスキームの開発

提案手法

• メタ学習を用いて、クリーン入力を摂動するインスタンス固有の確率的ノイズを生成するメタノイズジェネレータ（MNG）を導入する。
• トレーニング中に摂動分布から一様にサンプリングする確率的アドバーシャルトレーニング（SAT）を採用し、計算コストを低減する。
• 同じ入力のクリーン版、アドバーシャル版、ノイズ付加版の間で予測ラベルが同一になるように制約を課すアドバーシャルコンシステンシー（AC）損失を適用する。
• 2段階の最適化を実施：まず、ランダムにサンプリングされた摂動タイプからのアドバーシャル例の損失を最小化するように、ノイズジェネレータ φ(t) をメタ勾配により更新する。
• 分類器 θ(t) は、分類損失（Lcls）とアドバーシャルコンシステンシー損失（Lac）の両方を同時に最適化することで、耐性と一般化性能を向上させる。
• 生成されたノイズ付加サンプルを活用して、意思決定境界を滑らかにし、データポイントから遠ざけることで、複数の攻撃タイプにわたる耐性を強化する。

実験結果

リサーチクエスチョン

• RQ1 メタ学習されたノイズジェネレータは、同時に複数の多様なアドバーシャル攻撃に対してモデルの耐性を向上させることができるか？
• RQ2 マルチ摂動アドバーシャルトレーニングの計算コストを、耐性を損なわずに低減できるか？
• RQ3 クリーンデータ、アドバーシャルデータ、ノイズ付加データの間でラベルの一貫性を強制することで、意思決定境界が滑らかになり、一般化性能が向上するか？
• RQ4 本手法は、再トレーニングなしに、空間変換やJPEG圧縮などの未観測攻撃に対しても一般化可能か？

主な発見

• MNG-ACは、ℓpノルムと空間的攻撃を同時にトレーニングした場合、CIFAR-10とSVHNでそれぞれ26.1%および36.6%の相対的な耐性精度の向上を達成し、トレーニングコストを著しく低減したベースラインを上回る。
• CIFAR10-Cにおいては、5段階の深刻度と予期しない摂動（例：エラスティック変形、JPEG圧縮）に対しても強力な耐性を維持し、分布シフトへの一般化を示した。
• MNG-ACの損失関数の形状は、ℓ1、ℓ2、ℓ∞攻撃において、単一摂動でトレーニングされたモデルと比較して著しく滑らかであり、グローバル最適解に近いことを示唆している。
• 潜在空間における意思決定境界の可視化から、MNG-ACはベースラインと比較して、アドバーシャル例を意思決定境界からより遠くに押し出していることが確認された。
• MNG-ACは、SVHNおよびCIFAR-10において、計算予算をはるかに小さくした状態でも、マルチ摂動ベースラインと同等またはそれ以上の耐性を達成した。
• 本手法は、再トレーニングなしに空間変換やJPEGベースの摂動といった未観測攻撃に対しても効果的に一般化でき、訓練分布外の耐性を確認した。