[論文レビュー] Recent Advances in Understanding Adversarial Robustness of Deep Neural Networks

Tao Bai, Jinqi Luo+1 more|arXiv (Cornell University)|Nov 3, 2020

Adversarial Robustness in Machine Learning参考文献 51被引用数 5

ひとこと要約

本サーベイは、深層ニューラルネットワークにおける adversarial robustness の包括的分析を提供し、adversarial 攻撃、robustness 評価ベンチマーク、および robustness と自然精度のトレードオフをカバーしている。近年の adversarial vulnerability の根本的要因の理解の進展を強調し、計算コストと一般化のトレードオフに対処しながら robustness を向上させる新たなトレーニング技術についても議論している。

ABSTRACT

Adversarial examples are inevitable on the road of pervasive applications of deep neural networks (DNN). Imperceptible perturbations applied on natural samples can lead DNN-based classifiers to output wrong prediction with fair confidence score. It is increasingly important to obtain models with high robustness that are resistant to adversarial examples. In this paper, we survey recent advances in how to understand such intriguing property, i.e. adversarial robustness, from different perspectives. We give preliminary definitions on what adversarial attacks and robustness are. After that, we study frequently-used benchmarks and mention theoretically-proved bounds for adversarial robustness. We then provide an overview on analyzing correlations among adversarial robustness and other critical indicators of DNN models. Lastly, we introduce recent arguments on potential costs of adversarial training which have attracted wide attention from the research community.

研究の動機と目的

• 深層ニューラルネットワークにおける adversarial robustness を理解するための最近の進展を体系的かつ包括的に概説すること。
• adversarial robustness と自然精度の間のトレードオフ、および robustness とトレーニング効率の間のトレードオフを分析すること。
• adversarial training の制限要因と課題、特に計算コストと非証明可能性を検討すること。
• 信頼できる、robust な深層学習モデルを構築するための未解決問題と今後の研究方向性を同定すること。
• 経験的、理論的、アーキテクチャ的視点から、モデルが adversarial examples に対してなぜ脆弱であるかを統合的に考察すること。

提案手法

• adversarial training を形式化するための min-max 最適化フレームワークを用い、自然入力の ε-ボール内に存在する adversarial な例を用いてモデルを学習する。
• 訓練中に robust な adversarial な例を生成するために、主に Projected Gradient Descent (PGD) を使用する。
• CIFAR-10 や ImageNet などのデータセット上で、adversarial robustness を評価するための複数のベンチマーク（例：FGSM、CW、DeepFool）をレビューおよび比較する。
• adversarial robustness の理論的境界を分析し、robustness とモデルの一般化能力、潜在空間の性質との相関関係を検討する。
• FREE や FAST、GradAlign などの最近の効率的トレーニング手法を評価し、計算コストを削減しながら robustness を維持できるかを検証する。
• Pontryagin の最大原理を応用して、最初の層の重みと adversarial パーティクルの結合を分析し、YOPO —— 層に特化した adversarial training アルゴリズム —— を導出する。

実験結果

リサーチクエスチョン

• RQ1 深層ニューラルネットワークにおける adversarial vulnerability の根本的要因は何か？
• RQ2 adversarial robustness と自然精度の間には相関関係があるか？このトレードオフは避けられないのか？
• RQ3 adversarial training の計算コストと一般化コストは何か？これらはどのように軽減できるか？
• RQ4 理論的境界とアーキテクチャ設計は、adversarial robustness をどの程度向上させられるか？
• RQ5 FREE や FAST といった効率的トレーニング手法は、過度な計算コストを伴わずに PGD に基づくトレーニングと同等の robustness を達成できるか？

主な発見

• adversarial robustness と高い自然精度は本質的に両立しないわけではない。ドロップアウトやドメイン適応などの技術を用いることで、最近の研究ではこのトレードオフを軽減できることが示されている。
• ImageNet を基盤とするモデルの評価から、モデルの精度の対数と adversarial robustness の間に線形の負の相関関係があることが明らかになった。
• FREE や FAST といった効率的トレーニング手法は、PGD に基づくトレーニングと同等の robustness を維持しながら、トレーニング時間を顕著に短縮できる。
• GradAlign は、摂動集合内での勾配の整合性を最大化することで、adversarial training における災難的過学習を防止する。
• Pontryagin の最大原理に基づく YOPO は、adversarial 計算を最初の層に集中させることで、robustness を損なわずにトレーニング効率を向上させられることを示している。
• 理論的分析により、adversarial パーティクルが最初の層の重みと強く結合していることが確認され、adversarial training の最適化ダイナミクスに関する洞察が得られた。