[論文レビュー] On the Effect of Low-Rank Weights on Adversarial Robustness of Neural Networks

Peter Langenberg, Emilio Rafael Balda+2 more|arXiv (Cornell University)|Jan 29, 2019

Adversarial Robustness in Machine Learning参考文献 24被引用数 6

ひとこと要約

この論文は、深層ニューラルネットワークの adversarial robustness の向上における低ランクおよびスパースな重み行列の役割を調査する。核ノルムと L1 正則化を用いて低ランクおよびスパース構造を促進することで、FGSM および PGD 攻撃に対する堅牢性が顕著に向上することが示された。特に、両方の性質を共同で最適化した場合に顕著な向上が見られたが、依然として完全な adversarial training の水準には達しない。

ABSTRACT

Recently, there has been an abundance of works on designing Deep Neural Networks (DNNs) that are robust to adversarial examples. In particular, a central question is which features of DNNs influence adversarial robustness and, therefore, can be to used to design robust DNNs. In this work, this problem is studied through the lens of compression which is captured by the low-rank structure of weight matrices. It is first shown that adversarial training tends to promote simultaneously low-rank and sparse structure in the weight matrices of neural networks. This is measured through the notions of effective rank and effective sparsity. In the reverse direction, when the low rank structure is promoted by nuclear norm regularization and combined with sparsity inducing regularizations, neural networks show significantly improved adversarial robustness. The effect of nuclear norm regularization on adversarial robustness is paramount when it is applied to convolutional neural networks. Although still not competing with adversarial training, this result contributes to understanding the key properties of robust classifiers.

研究の動機と目的

• 低ランクおよびスパースな重み構造が深層ニューラルネットワークにおける adversarial robustness に寄与するかどうかを調査すること。
• 正則化を用いてこれらの構造的性質を促進することで、完全な adversarial training なしで堅牢性を向上させられるかどうかを特定すること。
• adversarial training 中における有効ランクと有効スパースさの間の相互作用を分析すること。
• 低ランクとスパースさの両方の正則化を併用することで、個別に正則化するよりも堅牢性が向上するかどうかを評価すること。

提案手法

• 著者たちは、訓練済みネットワークの重み行列における低ランクおよびスパース構造を定量化するために、有効ランクと有効スパースさを指標として用いる。
• 畳み込み層および全結合層における低ランク構造を促進するために、核ノルム正則化を適用する。
• 重み行列におけるスパースさを誘導するために L1 正則化を用いる。
• 選択された層に核ノルムと L1 ペナルティを組み合わせた共同正則化戦略を採用し、同時に低ランクおよびスパース構造を促進する。
• FGSM および PGD 攻撃（ε = 0.05）を用いて MNIST および Fashion-MNIST で実験を行い、だまし率を評価する。
• 訓練後における重み行列の可視化により、低ランクおよびスパースパターンの出現を定性的に確認する。

実験結果

リサーチクエスチョン

• RQ1 adversarial training は、深層ニューラルネットワークにおいて自然に低ランクおよびスパースな重み行列を生じさせるか？
• RQ2 低ランクおよびスパースな重み構造を促進する明示的な正則化は、adversarial robustness の向上に寄与するか？
• RQ3 低ランクおよびスパース正則化の併用は、それぞれの正則化を個別に適用するよりも効果的か？
• RQ4 有効ランクと有効スパースさは、FGSM および PGD 攻撃下での堅牢性とどのように相関するか？
• RQ5 低ランクおよびスパースな重み構造は、完全な adversarial training が達成する堅牢性をどの程度再現できるか？

主な発見

• adversarial training は、有効ランクと有効スパースさの低下によって、自然に低ランクおよびスパースな重み構造を誘導することが裏付けられた。
• 畳み込み層に核ノルム正則化を適用することで、PGD および FGSM 攻撃に対する堅牢性が顕著に向上した。
• 核ノルムと L1 ペナルティの両方を併用した共同正則化は、個別正則化よりも優れた堅牢性をもたらした。特に畳み込み層において顕著であった。
• L1 正則化単体でも有効ランクが低下することが示され、スパースさと低ランク構造の間には隠れた相互作用があることが示唆された。
• 可視化により、正則化後、特に最初および第二畳み込みフィルタで低ランクおよびスパースパターンが顕在していることが確認された。
• 改善は見られたが、完全な adversarial training で訓練されたモデルの堅牢性には及ばないことが示され、他の要因が関与している可能性があることが示された。