[論文レビュー] Learning with Bad Training Data via Iterative Trimmed Loss Minimization

Yanyao Shen, Sujay Sanghavi|arXiv (Cornell University)|Oct 28, 2018

Adversarial Robustness in Machine Learning参考文献 34被引用数 62

ひとこと要約

本論文は Iterative Trimmed Loss Minimization (ITLM) を提案する。これは tainted data に対しても学習できるように、低損失の訓練サンプルを繰り返し選択し、それらで再訓練するアプローチで、generalized linear models に対する理論的保証と、ノイズのあるラベル、劣化した画像、バックドア攻撃に対して強力な実証結果を示す。

ABSTRACT

In this paper, we study a simple and generic framework to tackle the problem of learning model parameters when a fraction of the training samples are corrupted. We first make a simple observation: in a variety of such settings, the evolution of training accuracy (as a function of training epochs) is different for clean and bad samples. Based on this we propose to iteratively minimize the trimmed loss, by alternating between (a) selecting samples with lowest current loss, and (b) retraining a model on only these samples. We prove that this process recovers the ground truth (with linear convergence rate) in generalized linear models with standard statistical assumptions. Experimentally, we demonstrate its effectiveness in three settings: (a) deep image classifiers with errors only in labels, (b) generative adversarial networks with bad training images, and (c) deep image classifiers with adversarial (image, label) pairs (i.e., backdoor attacks). For the well-studied setting of random label noise, our algorithm achieves state-of-the-art performance without having access to any a-priori guaranteed clean samples.

研究の動機と目的

• tainted data からの学習において、誤りのタイプを事前に知らなくても適用できる単一の汎用アプローチを動機づける。
• clean samples は通常、腐敗したものよりも初期トレーニング損失が低いことを示す。
• サンプルのフィルタリングとモデル適合を交互に行う反復アルゴリズムを開発・解析する。
• 分類、GAN、バックドア防御タスクでの手法の有効性を実証する。
• さまざまな腐敗下での一般化線形モデルに対する理論的収束保証を確立する。

提案手法

• trimmed loss objective を定義し、現在の損失が最も小さい ⌊αn⌋ 個の部分集合を選択し、その部分集合でモデルを更新するという交互の最適化で反復的に最適化できることを示す。
• ITLM を反復的手順として記述する：各ラウンド t で θ_t の下で最小損失サンプル S_t を選択し、次に標準的な学習ステップで S_t に対して θ_{t+1} を更新する。
• BatchSGD をモデル更新ルーチンとして使用し、設定可能なステップ数 M、バッチサイズ N、学習率 η を用いる。
• 乱択的な出力を伴う一般化線形モデルの下での per-round 収束境界を示す理論的分析を提供する。
• 非線形の単調リンク関数および混合データ設定への分析を拡張し、線形またはほぼ線形の収束条件を示す。

実験結果

リサーチクエスチョン

• RQ1 トレーニングサンプルの一部が腐敗している場合でも、単一の汎用反復フレームワークは ground-truth model を回復できるか。
• RQ2 一般化線形および非線形モデルに対して、任意・ランダム・混合の腐敗に対する ITLM の収束保証はどうなるか。
• RQ3 ノイズのあるラベル、悪い画像、バックドア攻撃を含む深層ネットワーク上で、ITLM は最新手法と比較して経験的にどう機能するか。
• RQ4 初期停止とクリーンサンプル分率 α の誤指定は、タスクを超えて ITLM の有効性に影響を与えるか。
• RQ5 トレーニング中に poisoned なサンプルをフィルタリングすることで ITLM はバックドア攻撃から防御できるか。

主な発見

• ITLM は標準的な仮定の下、さまざまな汚染タイプに対して一般化線形モデルで少なくとも線形に収束して ground truth に到達する。
• 深層学習設定では、CIFAR-10 および MNIST においてランダムおよび系統的なラベルノイズの下で naive な訓練より精度を改善し、事前にクリーンなサンプルを必要としない。
• 混合データで訓練した場合、ITLM はより強力な GAN 訓練性能を示し、反復を重ねるごとにジェネレータをクリーンに似たサンプルへと集中させる。
• バックドア攻撃の状況を横断して、ITLM は敵対的に注入されたサンプルを大幅に減らし、 poisoned テストセットで二次タスクの精度をほぼゼロへと向かわせつつ、クリーンデータでの精度を維持する。
• 理論的結果として、任意・ランダム腐敗下での各ラウンドの誤差収束、混合モデル設定でのほぼ線形収束、α が 1 に近づくとクリーンデータ設定で一貫性が回復することを示す。