[論文レビュー] Monge blunts Bayes: Hardness Results for Adversarial Training

Zac Cranko, Aditya Krishna Menon+4 more|arXiv (Cornell University)|Jun 8, 2018

Adversarial Robustness in Machine Learning被引用数 3

ひとこと要約

本稿は、積分確率的距離を一般化して「有害性」の指標γに拡張することにより、敵対的訓練における学習性能を著しく低下させる敵対的攻撃者を特定する形式的フレームワークを提示する。Lipschitz連続な分類器に対しては、最適輸送理論を用いることで、損失関数に依存しない効率的な敵対的攻撃者が得られ、クラスのマージナルを圧縮する。実験的に、このような攻撃者が標準的精度を低下させる一方で、一般化性能を向上させることを検証した。

ABSTRACT

The last few years have seen a staggering number of empirical studies of the robustness of neural networks in a model of adversarial perturbations of their inputs. Most rely on an adversary which carries out local modifications within prescribed balls. None however has so far questioned the broader picture: how to frame a resource-bounded adversary so that it can be severely detrimental to learning, a non-trivial problem which entails at a minimum the choice of loss and classifiers. We suggest a formal answer for losses that satisfy the minimal statistical requirement of being proper. We pin down a simple sufficient property for any given class of adversaries to be detrimental to learning, involving a central measure of "harmfulness" which generalizes the well-known class of integral probability metrics. A key feature of our result is that it holds for all proper losses, and for a popular subset of these, the optimisation of this central measure appears to be independent of the loss. When classifiers are Lipschitz -- a now popular approach in adversarial training --, this optimisation resorts to optimal transport to make a low-budget compression of class marginals. Toy experiments reveal a finding recently separately observed: training against a sufficiently budgeted adversary of this kind improves generalization.

研究の動機と目的

• 資源制限のある敵対的攻撃者が、敵対的訓練において学習に著しく悪影響を及える条件を形式化すること。
• 積分確率的距離と最大平均差分を一般化した指標γを用いて、敵対的攻撃の有害性を十分条件として同定すること。
• 最適輸送を用いたLipschitz連続分類器が、損失関数に依存しない効率的な敵対的攻撃の構造を可能にする役割を分析すること。
• 最適輸送を用いてクラスマージナルを圧縮するように設計された敵対的攻撃者が、標準的精度を損なうとしても一般化性能を向上させることを示すこと。
• 一般的な敵対的訓練手法が、提案された最適輸送に基づく有害な敵対的攻撃者の代理を暗黙的に用いているという理論的・実験的根拠を提供すること。

提案手法

• 積分確率的距離を一般化し、最大平均差分とも関連付けることで、敵対的攻撃の「有害性」を定量化する指標γを導入する。
• 対数損失、二乗損失、Matsushita損失などの適切な損失関数に対して、γの最適化が損失関数に依存しないことを確立し、損失に依存しない攻撃者設計を可能にする。
• Lipschitz制約の下でγを最小化する敵対的攻撃者を最適輸送理論を用いてモデル化し、クラスマージナルの低予算圧縮を実現する。
• 二段階フレームワークを採用：まず、クリーンデータ分布を敵対的分布に写像する最適輸送計画を計算し、次に変換されたデータで学習を行う。
• L1ノルム制約（画像画素単位）の下で、Monge型の敵対的攻撃者を勾配フリー最適化と線形計画法を用いて計算する。
• 1次元の合成データとUSPS手書き数字（1対3）を用い、ロジスティック回帰とmixupに類似した敵対的攻撃者を用いて、手法の有効性を検証する。

実験結果

リサーチクエスチョン

• RQ1 資源制限のある敵対的攻撃者が、損失関数が適切であっても、学習に決定的に悪影響を及える条件は何か？
• RQ2 敵対的攻撃の有害性は損失関数に依存せずに定量化可能か？ もしそうなら、その一般的な形は何か？
• RQ3 分類器のLipschitz連続性が、最適輸送に基づく敵対的攻撃の構造と効率性に与える影響は何か？
• RQ4 一般的に用いられる敵対的訓練手法は、最適輸送を用いてクラスマージナルを圧縮する攻撃者に暗黙的に依存していると見なせるか？
• RQ5 最適輸送に基づくこのような攻撃者に対して学習させることで、標準的精度を犠牲にしても一般化性能が向上するか？

主な発見

• 本稿では、敵対的攻撃の有害性の十分条件として、積分確率的距離を一般化した指標γの最適化が成立することを確立した。このγは、広範な適切な損失関数に対して損失関数に依存せず、一般化可能である。
• Lipschitz連続な分類器に対しては、最適輸送を用いたクラスマージナルの低コスト圧縮が最適な敵対的攻撃者に対応し、クラス間のギャップを「縮める」仕組みを形式化した。
• 1次元のトイ実験では、mixup型攻撃者がα → 1のとき損失ℓ₀に収束し、モデルが50%の精度（ランダム推定と同等）に収束することを確認した。
• USPS数字データセットにおいて、Monge型攻撃者は、α/d = 0.15から0.6に増加するに従い、1と3の数字を滑らかで制御可能な摂動で信頼性のある敵対的例に変換できた。
• 実験結果から、このような攻撃者によって摂動されたデータで学習させることで一般化性能が向上することが確認され、Tsiprasら（2019年）およびZhangら（2018年）の先行研究と整合的であった。
• 本研究は、一般的な敵対的訓練手法が、提案された最適輸送に基づく有害な敵対的攻撃者の代理を暗黙的に用いているという理論的・実験的根拠を提供し、その成功の背後にある統一的原理を示唆した。