[論文レビュー] Robust Unlearnable Examples: Protecting Data Against Adversarial Learning

Shaopeng Fu, Fengxiang He+3 more|arXiv (Cornell University)|Mar 28, 2022

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本稿では、敵対的訓練に対して耐性のある、人間が感知できないが学習不能な例を生成する、新たな防御機構「ロバストな誤差最小化ノイズ」を提案する。期待値をとった変換（EOT）を用いたミニマム・ミニマム・マックス最適化により、敵対的訓練損失を最小化することで、モデルが保護データを学習するのを効果的に抑制する。この手法は、複数のデータセットおよびアーキテクチャにおいて、従来の誤差最小化ノイズよりも優れた性能を示す。

ABSTRACT

The tremendous amount of accessible data in cyberspace face the risk of being unauthorized used for training deep learning models. To address this concern, methods are proposed to make data unlearnable for deep learning models by adding a type of error-minimizing noise. However, such conferred unlearnability is found fragile to adversarial training. In this paper, we design new methods to generate robust unlearnable examples that are protected from adversarial training. We first find that the vanilla error-minimizing noise, which suppresses the informative knowledge of data via minimizing the corresponding training loss, could not effectively minimize the adversarial training loss. This explains the vulnerability of error-minimizing noise in adversarial training. Based on the observation, robust error-minimizing noise is then introduced to reduce the adversarial training loss. Experiments show that the unlearnability brought by robust error-minimizing noise can effectively protect data from adversarial training in various scenarios. The code is available at \url{https://github.com/fshp971/robust-unlearnable-examples}.

研究の動機と目的

• 既存の学習不能な例が敵対的訓練に対して脆弱であるという問題に取り組み、データ保護の根幹を揺るがす要因を解消すること。
• 誤差最小化ノイズが敵対的訓練下で失敗する理由、特に敵対的訓練損失の効果的抑制が不十分であることが原因であることを解明すること。
• 敵対的損失の最小化により、敵対的訓練下でも学習不能性を維持できる新たなノイズ生成手法を設計すること。
• 提案手法のロバスト性を、多様なモデルとデータセットを用いて実証的に検証すること。
• 敵対的ファインチューニングに対して耐性のある安定的かつ効果的な学習不能例生成フレームワークを確立すること。

提案手法

• 敵対的訓練損失の最小化を目的とした、ミニマム・ミニマム・マックス最適化フレームワークを提案し、内側の最小化が敵対的訓練損失をターゲットとする。
• 標準的な訓練損失ではなく、敵対的損失の最小化により学習可能な知識の抑制を図る、ロバストな誤差最小化ノイズを防御機構として導入する。
• ノイズ生成の安定性と敵対的摂動下での一般化性能の向上を図るために、期待値をとった変換（EOT）技術を採用する。
• 継続的データに追加された際、敵対的訓練下で学習不能となる人間が感知できないノイズを生成するジェネレータネットワークを用いる。
• 二段階のプロセスでノイズジェネレータを訓練する：まず敵対的損失の最小化を最適化し、次にEOTを適用して耐性を強化する。
• CIFAR-10およびCIFAR-100に本手法を適用し、敵対的摂動半径が異なる状況下で、複数のアーキテクチャ（ResNet、VGG、DenseNet、Wide ResNet）を用いて性能を評価する。

実験結果

リサーチクエスチョン

• RQ1 なぜ誤差最小化ノイズは敵対的訓練下でデータ保護に失敗するのか？
• RQ2 モデルが敵対的に訓練された場合でも、学習不能な例は有効に機能するのか？
• RQ3 敵対的訓練損失を最小化しつつ、データの見えにくさを維持できるノイズを設計することは可能か？
• RQ4 EOT技術は生成された学習不能例の安定性と耐性にどのように影響するか？
• RQ5 ロバストな誤差最小化ノイズは、異なるモデルアーキテクチャおよびデータセットに一般化可能か？

主な発見

• ロバストな誤差最小化ノイズ（REM）は敵対的訓練下でも強い学習不能性を維持し、CIFAR-10（ρa = 4/255）で91.76%のテスト精度を達成した。これに対して、標準的な誤差最小化ノイズは27.09%にとどまった。
• CIFAR-100（ρa = 4/255）でもREMは63.79%のテスト精度を達成し、誤差最小化ノイズの27.10%を大きく上回った。
• EOT技術は不可欠である：EOTを用いない場合、ノイズは保護機能を果たさず、CIFAR-10で敵対的訓練下のテスト精度は18.55%にまで低下した。
• REMは、ResNet-18、VGG-16、ResNet-50、DenseNet-121、Wide ResNet-34-10を含む多様なアーキテクチャにおいて、CIFAR-10およびCIFAR-100の両方で耐性を示した。
• 防衛用摂動半径ρuを16/255に引き上げても本手法は有効であり、強力な一般化能力を示した。
• DenseNet-121は、敵対的一般化における固有の制限により、保護性能がやや低下したが、それでもベースライン手法を上回った。