[論文レビュー] Local Convolutions Cause an Implicit Bias towards High Frequency Adversarial Examples

Josue Ortega Caro, Yilong Ju+5 more|arXiv (Cornell University)|Jun 19, 2020

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本稿では、局所的畳み込みがフーリエ不確定性原理に起因するため、深層学習の学習を高周波成分に偏向させるという仮説を提示している。このことにより、 adversarial examples が主に高周波成分の摂動を含む理由が説明される。著者らは、カーネルの局所性を高めることでこの偏向が強化されることを示しており、畳み込みを Vision Transformers や MLP に置き換えることで、この偏向が顕著に減少することを確認している。これは、アーティファクトのロバストネスにおいてアーキテクチャ設計が鍵を握っていることを示唆している。

ABSTRACT

Adversarial Attacks are still a significant challenge for neural networks. Recent work has shown that adversarial perturbations typically contain high-frequency features, but the root cause of this phenomenon remains unknown. Inspired by theoretical work on linear full-width convolutional models, we hypothesize that the local (i.e. bounded-width) convolutional operations commonly used in current neural networks are implicitly biased to learn high frequency features, and that this is one of the root causes of high frequency adversarial examples. To test this hypothesis, we analyzed the impact of different choices of linear and nonlinear architectures on the implicit bias of the learned features and the adversarial perturbations, in both spatial and frequency domains. We find that the high-frequency adversarial perturbations are critically dependent on the convolution operation because the spatially-limited nature of local convolutions induces an implicit bias towards high frequency features. The explanation for the latter involves the Fourier Uncertainty Principle: a spatially-limited (local in the space domain) filter cannot also be frequency-limited (local in the frequency domain). Furthermore, using larger convolution kernel sizes or avoiding convolutions (e.g. by using Vision Transformers architecture) significantly reduces this high frequency bias, but not the overall susceptibility to attacks. Looking forward, our work strongly suggests that understanding and controlling the implicit bias of architectures will be essential for achieving adversarial robustness.

研究の動機と目的

• adversarial examples が目に見えないにもかかわらず、なぜ主に高周波成分で構成されているのかを解明すること。
• 局所的畳み込みのアーキテクチャ的選択が、この高周波偏向の根本的原因であるかどうかを特定すること。
• 畳み込み層の内在的偏向（空間的局所性に起因）が、高周波成分の特徴を学習することにつながるという仮説を検証すること。
• Vision Transformers や MLP などのアーキテクチャ的代替案が、この内在的偏向および adversarial robustness に与える影響を調査すること。
• フーリエ不確定性原理と高周波成分の adversarial perturbation の出現との間に、結びつきを確立すること。

提案手法

• 著者らは、adversarial perturbation の離散フーリエ変換を用いて、空間的および周波数領域における線形および非線形アーキテクチャの内在的偏向を分析した。
• Foolbox ライブラリを用いて、PGD その他の攻撃によって生成された adversarial perturbation の周波数スペクトルを計算した。
• 線形モデルの場合、畳み込み操作を表す Toeplitz 行列を用いて、入力-出力重み変換を導出し、周波数領域における内在的正則化を計算した。
• 非線形モデルの場合、重みの代わりにサリエンシー・マップを用いて、周波数領域における内在的偏向を近似した。
• 周波数領域におけるクラス固有のショートカット特徴（マスク行列を用いて）を導入し、モデルの高周波成分への感受性をテストした。
• カーネルサイズを変化させ、CNN、MLP、Vision Transformers などのアーキテクチャを比較することで、局所性が周波数偏向に与える影響を分離した。

実験結果

リサーチクエスチョン

• RQ1 ニューラルネットワークにおける局所的畳み込みの使用は、周波数領域において高周波成分の特徴学習に内在的偏向をもたらすか？
• RQ2 畳み込みカーネルのサイズが、adversarial perturbation の周波数コンテンツに与える影響は何か？
• RQ3 MLP や Vision Transformers に畳み込みを置き換えるといったアーキテクチャ的選択が、adversarial examples の高周波偏向をどの程度軽減するか？
• RQ4 adversarial examples の高周波性は、主にデータセットの統計的特徴ではなく、アーキテクチャのインダクティブバイアスに起因しているか？
• RQ5 フーリエ不確定性原理は、畳み込みモデルにおける高周波成分の adversarial perturbation の出現を説明できるか？

主な発見

• 畳み込み演算は、全結合型や MLP スタイルのアーキテクチャと比較して、常に高周波帯域に高いエネルギーを持つ adversarial perturbation を生成する。
• カーネルサイズが小さくなるほど高周波偏向が増大し、空間的局所性が強いほど周波数偏向が強化されることを示している。
• 大きな畳み込みカーネル、あるいは畳み込みを Vision Transformers や MLP に置き換えることで、adversarial perturbation の高周波成分が顕著に減少する。
• 高周波成分への偏向は、フーリエ不確定性原理によって説明できる：空間的に局所化されたフィルタは周波数的にも局所化できないため、高周波成分を優遇するトレードオフが生じる。
• 周波数ドメインにおけるクラス固有の周波数ベースのショートカット特徴の使用により、モデルの高周波成分への感受性が向上し、周波数が adversarial vulnerability に果たす役割が裏付けられた。
• 非線形モデルにおけるサリエンシー・マップは、重みに基づく内在的偏向分析の信頼できる代理指標となり、モデル行動の周波数ドメイン解釈を可能にした。