[論文レビュー] On the Certified Robustness for Ensemble Models and Beyond

Zhuolin Yang, Linyi Li+4 more|arXiv (Cornell University)|Jul 22, 2021

Adversarial Robustness in Machine Learning参考文献 60被引用数 7

ひとこと要約

本稿では、多様な勾配と大きな信頼度マージンを促進することで、アンサンブルモデルにおける認証可能ロバスト性を向上させる軽量な正則化手法であるDiversity Regularized Training（DRT）を提案する。DRTは、MNIST、CIFAR-10、ImageNetにおいて、同等の訓練コストで先行手法を上回るSOTAの$L_2$ロバスト性を達成し、認証可能精度を最大6.1%向上させる。

ABSTRACT

Recent studies show that deep neural networks (DNN) are vulnerable to adversarial examples, which aim to mislead DNNs by adding perturbations with small magnitude. To defend against such attacks, both empirical and theoretical defense approaches have been extensively studied for a single ML model. In this work, we aim to analyze and provide the certified robustness for ensemble ML models, together with the sufficient and necessary conditions of robustness for different ensemble protocols. Although ensemble models are shown more robust than a single model empirically; surprisingly, we find that in terms of the certified robustness the standard ensemble models only achieve marginal improvement compared to a single model. Thus, to explore the conditions that guarantee to provide certifiably robust ensemble ML models, we first prove that diversified gradient and large confidence margin are sufficient and necessary conditions for certifiably robust ensemble models under the model-smoothness assumption. We then provide the bounded model-smoothness analysis based on the proposed Ensemble-before-Smoothing strategy. We also prove that an ensemble model can always achieve higher certified robustness than a single base model under mild conditions. Inspired by the theoretical findings, we propose the lightweight Diversity Regularized Training (DRT) to train certifiably robust ensemble ML models. Extensive experiments show that our DRT enhanced ensembles can consistently achieve higher certified robustness than existing single and ensemble ML models, demonstrating the state-of-the-art certified L2-robustness on MNIST, CIFAR-10, and ImageNet datasets.

研究の動機と目的

• アドバーシャル$L_2$摂動下で、アンサンブルモデルが単一モデルよりも高い認証可能ロバスト性を達成できるかどうかを調査すること。
• モデルスムージングの仮定の下で、認証可能にロバストなアンサンブルモデルを実現するための十分かつ必要条件を同定すること。
• 顕著な計算コストを伴わず、アンサンブルモデルにおける認証可能ロバスト性を体系的かつ一貫して向上させる実用的な訓練手法を開発すること。
• 特に勾配の多様性とマージンが最適化された場合に、アンサンブルモデルが単一モデルを上回る認証可能ロバスト性を示す条件を検証すること。

提案手法

• モデルスムージングを保証するための「アンサンブル・フォローアフターフェーズ」戦略を提案し、アンサンブルにおける認証可能ロバスト性の理論的分析を可能にする。
• ベースモデル間の勾配多様性を促進し、予測クラス間の信頼度マージンを拡大する2部構成の正則化損失であるDRTを導入する。
• DRTは、ガウス補完や adversarial training といった既存のスムージング技術とシームレスに統合可能であり、訓練オーバーヘッドは最小限に抑えられる。
• 重み付き平均および平均アンサンブルプロトコルを採用し、アブレーションスタディにより最適な重み付けが一様平均よりも僅かに高い性能を示すことを確認した。
• 理論的分析により、モデルスムージングの下で、勾配の多様性と大きな信頼度マージンが、認証可能にロバストなアンサンブルモデルのための十分かつ必要条件であることが証明された。
• ランダムスムージングを基本防御メカニズムとし、アンサンブルメンバー間のスムージング予測の中央値から認証可能ロバスト性を導出する。

実験結果

リサーチクエスチョン

• RQ1 $L_2$摂動下で、アンサンブルモデルは単一モデルよりも顕著に高い認証可能ロバスト性を提供できるか？
• RQ2 モデルスムージングの仮定の下で、認証可能にロバストなアンサンブルモデルを実現するための十分かつ必要条件は何か？
• RQ3 アンサンブル集約プロトコルの選択（例：平均 vs. 重み付き）が認証可能ロバスト性に与える影響は何か？
• RQ4 DRTのような軽量な正則化手法が、多様なデータセットおよびベースモデルにおいて一貫して認証可能ロバスト性を向上させられるか？
• RQ5 勾配の多様性と信頼度マージンは、アンサンブルモデルの認証可能ロバスト性にどの程度寄与しているか？

主な発見

• 平均または重み付き集約を用いた標準的なアンサンブルモデルでは、認証可能ロバスト性が単一モデルに対して僅かに向上するにとどまり、例としてCIFAR-10における$L_2$半径1.5で、認証精度は21.9%から24.2%に上昇するにとどまる。
• DRTで訓練されたアンサンブルモデルは、CIFAR-10における$L_2$半径1.5で30.3%の認証精度を達成し、先行SOTAの24.2%を大きく上回る。
• $L_2$半径2.0において、DRTは認証精度を20.3%まで向上させ、CIFAR-10で先行SOTAの16.0%を上回った。
• MNISTでは、DRTは半径1.5で76.7%の認証精度を達成し、同じ設定下でADP（73.4%）およびGAL（73.2%）を上回った。
• 理論的分析により、モデルスムージングの下で、勾配の多様性と大きな信頼度マージンが、認証可能にロバストなアンサンブルモデルのための十分かつ必要条件であることが確認された。
• DRTは柔軟性に富み、事前学習済みのロバストな単一モデルとも組み合わせ可能であり、ImageNetにおいては、これまで報告された中で最高の認証ロバスト性を達成した。