[論文レビュー] On Data Augmentation and Adversarial Risk: An Empirical Analysis

Hamid Eghbal-zadeh, Khaled Koutini+6 more|arXiv (Cornell University)|Jul 6, 2020

Adversarial Robustness in Machine Learning参考文献 28被引用数 7

ひとこと要約

本稿は、深層学習におけるデータ拡張が adversarial robustness に与える影響を調査し、モデルの脆弱性を評価するための新しい指標「prediction-change stress」を提案する。データ拡張による分類精度の向上が、必ずしも adversarial risk を低減するとは限らず、拡張されたデータは元のデータよりも顕著にモデル行動に影響を与えることが判明した。これは、データとタスクの特性に基づいた慎重な選択が不可欠であることを示唆している。

ABSTRACT

Data augmentation techniques have become standard practice in deep learning, as it has been shown to greatly improve the generalisation abilities of models. These techniques rely on different ideas such as invariance-preserving transformations (e.g, expert-defined augmentation), statistical heuristics (e.g, Mixup), and learning the data distribution (e.g, GANs). However, in the adversarial settings it remains unclear under what conditions such data augmentation methods reduce or even worsen the misclassification risk. In this paper, we therefore analyse the effect of different data augmentation techniques on the adversarial risk by three measures: (a) the well-known risk under adversarial attacks, (b) a new measure of prediction-change stress based on the Laplacian operator, and (c) the influence of training examples on prediction. The results of our empirical analysis disprove the hypothesis that an improvement in the classification performance induced by a data augmentation is always accompanied by an improvement in the risk under adversarial attack. Further, our results reveal that the augmented data has more influence than the non-augmented data, on the resulting models. Taken together, our results suggest that general-purpose data augmentations that do not take into the account the characteristics of the data and the task, must be applied with care.

研究の動機と目的

• データ拡張による分類性能の向上が、adversarial risk の低減と相関しているかどうかを調査すること。
• adversarial パーティクルの影響を評価するための新しい定量的指標「prediction-change stress」を考案すること。
• 影響関数を用いて、元のデータと拡張データの両方の訓練サンプルがモデルの損失と予測に与える寄与度を定量化すること。
• 汎化性能と adversarial robustness の観点から、標準的なデータ拡張手法のトレードオフを評価すること。
• データとタスクの特性に合わせて、adversarial risk を最小化するデータ拡張戦略を選択する手がかりを実務家に提供すること。

提案手法

• テスト入力の周囲における局所的予測不安定性を推定するため、ラプラシアン作用素に基づく予測変化ストレスを新規に提案する。
• 個々の訓練サンプル（元のデータおよび拡張データ）がモデルの損失と予測に与える寄与度を定量化するために、影響関数を用いる。
• CIFAR-10 に、古典的幾何変換、Mixup、GANベースの拡張の3つのクラスのデータ拡張を適用する。
• FGSM や PGD といった体系的な adversarial 攻撃を実施し、さまざまな拡張戦略における耐性を評価する。
• 拡張済みおよび非拡張済みの訓練サンプル間の影響スコア分布を比較する統計的分析を実施する。
• 攻撃強度や拡張強度を変化させたアブレーションスタディを通じて、主張を検証する。

実験結果

リサーチクエスチョン

• RQ1 データ拡張による分類誤差の低減が、常に adversarial risk の低減をもたらすのか？
• RQ2 さまざまな拡張手法において、予測変化ストレスと adversarial robustness の相関関係は何か？
• RQ3 拡張済みの訓練サンプルが、元の訓練サンプルと比較して、最終的なモデルにどの程度の影響を与えるのか？
• RQ4 どのデータ拡張戦略が adversarial 攻撃に対して最も頑健なモデルを生み出すか？
• RQ5 予測変化ストレスは、モデル評価における adversarial risk の信頼できる代理指標として機能できるか？

主な発見

• Mixup は分類精度を向上させたが、テストされたすべての手法の中で最も高い adversarial risk を示し、より高い精度がより良い耐性を意味するという仮定に反する結果となった。
• GANベースの拡張は、精度の上昇が小さいにもかかわらず、最小の adversarial risk を達成した。これは、生成的データ拡張が耐性を向上させられることを示唆している。
• 熟練者が設計した幾何的拡張は、最小の分類誤差を達成し、最も頑健な adversarial ロバストネスを示した。これは、強いインダクティブバイアスが精度と耐性の両方を向上させることを示している。
• 予測変化ストレスは adversarial risk と強く相関しており、ストレス値が高いモデルは adversarial 攻撃に対してより脆弱であることが判明した。
• 拡張済みの訓練サンプルは、非拡張済みのサンプルと比較して、より広い影響スコアの範囲を示した。これは、拡張データがモデル学習に顕著に大きな影響を与えていることを示している。
• 拡張データの影響力は、元のデータを上回る。これは、拡張サンプルの確率的特性と多様性が、訓練中に一度だけ観測されるためである。