[論文レビュー] Local Reweighting for Adversarial Training

Ruize Gao, Feng Liu+4 more|arXiv (Cornell University)|Jun 30, 2021

Adversarial Robustness in Machine Learning参考文献 38被引用数 5

ひとこと要約

本稿では、データセット全体の再重み付けではなく、アドバーシャルペア内でのインスタンス固有の再重み付けを実行する、敵対的訓練のためのローカル再重み付け（LRAT）を提案する。LRATは攻撃固有の脆弱性に基づいて損失重みを局所的に調整することで、未学習の攻撃に対しても頑健性を維持し、PGD、CW、AutoAttackベンチマークにおいて、標準的な敵対的訓練およびGAIRATなどのインスタンス再重み付け手法を上回る性能を発揮する。

ABSTRACT

Instances-reweighted adversarial training (IRAT) can significantly boost the robustness of trained models, where data being less/more vulnerable to the given attack are assigned smaller/larger weights during training. However, when tested on attacks different from the given attack simulated in training, the robustness may drop significantly (e.g., even worse than no reweighting). In this paper, we study this problem and propose our solution--locally reweighted adversarial training (LRAT). The rationale behind IRAT is that we do not need to pay much attention to an instance that is already safe under the attack. We argue that the safeness should be attack-dependent, so that for the same instance, its weight can change given different attacks based on the same model. Thus, if the attack simulated in training is mis-specified, the weights of IRAT are misleading. To this end, LRAT pairs each instance with its adversarial variants and performs local reweighting inside each pair, while performing no global reweighting--the rationale is to fit the instance itself if it is immune to the attack, but not to skip the pair, in order to passively defend different attacks in future. Experiments show that LRAT works better than both IRAT (i.e., global reweighting) and the standard AT (i.e., no reweighting) when trained with an attack and tested on different attacks.

研究の動機と目的

• 訓練時に使用した攻撃とは異なる攻撃に対してテストした際のインスタンス再重み付け敵対的訓練（IRAT）の頑健性の低下を解消すること。
• GAIRATのようなグローバル再重み付け戦略が、訓練攻撃においては頑健性を向上させるものの、未学習の攻撃では失敗する理由を解明すること。
• 攻撃依存の再重み付け戦略を提案し、多様な敵対的攻撃にわたる一般化を向上させること。
• 訓練時に攻撃が誤って指定された場合でも、敵対的ペア内でのローカル再重み付けがモデルの頑健性を保持できることを示すこと。

提案手法

• LRATは、PGD や CW などの複数の攻撃に対して各自然入力をその敵対的変種とペアにし、再重み付け用の局所的グループを形成する。
• モデルの信頼度と敵対的距離に依存する学習可能な重み関数を用いて、各ペア内で脆弱性に基づいた再重み付けを実行する。
• 各インスタンスに一意のグローバル重みを割り当てないことでグローバル再重み付けを回避し、代わりに各敵対的ペア内の相対的重要性に焦点を当てる。
• 訓練中に有用な例を無視するのを防ぐために、[N] および [P] 項による穏やかな下限をインスタンス重みに導入する。
• 自然例および敵対的例の加重損失を組み合わせた損失関数を採用し、攻撃固有の脆弱性スコアから導出された重みを用いる。
• 本フレームワークは汎用的であり、任意の攻撃タイプや脆弱性指標と組み合わせて使用可能で、柔軟かつ頑健な防御設計を可能にする。

実験結果

リサーチクエスチョン

• RQ1 インスタンス再重み付け敵対的訓練（IRAT）は、訓練攻撃において頑健性を向上させるものの、未学習の攻撃に一般化できないのはなぜか？
• RQ2 データインスタンスの脆弱性は、異なる敵対的攻撃において一貫しているのか、それとも攻撃依存的なのか？
• RQ3 グローバル再重み付け戦略と比較して、敵対的ペア内でのローカル再重み付けは、未学習の攻撃に対する頑健性を向上させられるか？
• RQ4 インスタンス重みに穏やかな下限を維持することで、適応的または未知の攻撃に対する防御に寄与するか？

主な発見

• CIFAR-10 において、ResNet-18 を用いた LRAT は、PGD 攻撃下で 53.52% の頑健精度、CW 攻撃下で 50.71% の頑健精度を達成し、GAIRAT や標準的な AT より顕著に優れている。
• AutoAttack (AA) では、([N]+P+C) 変種で 48.60% の頑健精度を達成し、訓練時に AA をシミュレートしていなくても、ベースライン手法を一貫して上回っている。
• アブレーションスタディにより、ローカル再重み付け（P+C）がグローバル再重み付け（P または C 単体）を上回ることが確認され、後者は未学習攻撃で顕著な性能低下を示している。
• [N] および [P] 項による穏やかな下限の導入が、AutoAttack における頑健性を向上させ、適応的・未知攻撃に対する防御の価値を示している。
• LRAT は多様な攻撃下でのモデル失敗リスクを低減し、グローバル再重み付け戦略と比較してよりバランスが取れて一般化可能な防御を実現している。