[論文レビュー] On Collective Robustness of Bagging Against Data Poisoning

Ruoxin Chen, Zenan Li+3 more|arXiv (Cornell University)|May 26, 2022

Advanced Graph Neural Networks被引用数 5

ひとこと要約

本稿は、一般のバギングに対するグローバルデータ汚染攻撃に対して、初めての集団的ロバストネス認証を導入する。攻撃者が同時に反転させられる予測数の最大値を計算するために、二値整数線形計画問題（BILP）を定式化する。また、最小限のオーバーヘッドで、アーキテクチャ制約なしに複数のデータセットで顕著に向上する、決定的でハッシュベースのサブサンプリング手法「ハッシュバギング」を提案する。

ABSTRACT

Bootstrap aggregating (bagging) is an effective ensemble protocol, which is believed can enhance robustness by its majority voting mechanism. Recent works further prove the sample-wise robustness certificates for certain forms of bagging (e.g. partition aggregation). Beyond these particular forms, in this paper, \emph{we propose the first collective certification for general bagging to compute the tight robustness against the global poisoning attack}. Specifically, we compute the maximum number of simultaneously changed predictions via solving a binary integer linear programming (BILP) problem. Then we analyze the robustness of vanilla bagging and give the upper bound of the tolerable poison budget. Based on this analysis, \emph{we propose hash bagging} to improve the robustness of vanilla bagging almost for free. This is achieved by modifying the random subsampling in vanilla bagging to a hash-based deterministic subsampling, as a way of controlling the influence scope for each poisoning sample universally. Our extensive experiments show the notable advantage in terms of applicability and robustness.

研究の動機と目的

• 一般のバギングに対するグローバル汚染攻撃に対する形式的集団的ロバストネス認証の欠如に対処すること。
• しばしば集団的ロバストネスを低く見積もる個別サンプルの認証よりも、より緊密なロバストネス境界を計算すること。
• サブトレインセットおよびサブクラス分類器の予測にのみ依存して、バニラバギングのロバストネスの理論的限界を特定する上界を導出すること。
• モデルアーキテクチャやハイパーパrameterの変更なしに、実用的で即時適用可能な防御「ハッシュバギング」を提案すること。
• ハッシュバギングが競争力のある精度を維持しながら、優れた認証ロバストネスを達成することを実証すること。

提案手法

• 与えられた汚染予算下で、同時に変更可能な予測数の最大値を求める二値整数線形計画問題（BILP）を定式化し、集団的ロバストネス認証を可能にする。
• BILPの解法にかかる計算コストを低減するための分解戦略を導入し、テストセットサイズに比例する線形時間での計算を実現する。
• サブトレインセットおよびサブクラス分類器の予測にのみ依存して、バニラバギングが耐えられる汚染予算の上界を導出する。
• ランダムサブサンプリングを置き換えることで、各訓練サンプルがサブトレインセット全体に与える影響を制限する決定的でハッシュベースのサンプリング戦略を提案する。
• 分解手法を用いて、バニラバギングおよびハッシュバギングの両方の集団的ロバストネス下界を効率的に計算する。
• 4つのデータセットを用いた実験的評価により、さまざまなバギングバリアント間の認証ロバストネスおよび精度を比較する。

実験結果

リサーチクエスチョン

• RQ1 グローバルデータ汚染攻撃に対して、個別サンプルの境界に依存するのではなく、一般のバギングの集団的ロバストネスを形式的に認証できるか？
• RQ2 バニラバギングがロバストネスを失う前に耐えられる汚染予算の理論的上界は何か？
• RQ3 モデルアーキテクチャの変更や顕著な計算コストの増加なしに、バニラバギングのロバストネスをどのように向上できるか？
• RQ4 決定的でハッシュベースのサブサンプリング戦略は、汚染されたサンプルの影響範囲を効果的に制限し、集団的ロバストネスを向上させることができるか？
• RQ5 提案された集団的認証は、従来の個別サンプル認証手法と比較して、タイトさと実用性の面で優れているか？

主な発見

• 提案されたBILPによる集団的認証は、個別サンプル認証よりも顕著にタイトなロバストネス境界をもたらし、CIFAR-10で50%の汚染予算の場合、攻撃予算（M_ATK）が最大26.6%低くなる。
• CIFAR-10で5%の汚染予算の場合、ハッシュバギングはバニラバギングの集団的ロバストネス（CR）を最大16.3%、認証精度（CA）を最大15.2%向上させる。
• CIFAR-10で50%の汚染予算の場合、ハッシュバギングはバニラバギングと比較して、集団的ロバストネスのための攻撃予算（M_ATK）を9.67%、認証精度のための攻撃予算を15.2%低減する。
• 分解戦略により、テストセットサイズに比例する線形時間で集団的ロバストネス下界を効率的に計算可能となり、スケーラビリティが確保される。
• ハッシュバギングは最小限のコストで優れたロバストネスを達成する。追加のハイパーパrameter制約やモデルアーキテクチャの制限がないため、広範に適用可能である。
• 4つのデータセットにおける実験的結果から、ハッシュバギングが変動する汚染予算の範囲で一貫して認証ロバストネスを向上させつつ、競争力のある精度を維持することが確認された。