[論文レビュー] Second Order Optimization for Adversarial Robustness and Interpretability

Theodoros Tsiligkaridis, Jay Roberts|arXiv (Cornell University)|Sep 10, 2020

Adversarial Robustness in Machine Learning参考文献 23被引用数 6

ひとこと要約

本稿では、Frank-Wolfe反復を用いて敵対的リスクの二次近似を行うことで、敵対的ロバストネスとモデルの解釈可能性を向上させる、第二階層最適化手法SCORPIOを提案する。敵対的訓練と同等のロバストネスを達成しつつ、著しく短い訓練時間で実現可能であり、勾配の誤ごしも軽減される。さらに、人間が理解可能な高品質なサリエンシーマップを生成する。

ABSTRACT

Deep neural networks are easily fooled by small perturbations known as adversarial attacks. Adversarial Training (AT) is a technique aimed at learning features robust to such attacks and is widely regarded as a very effective defense. However, the computational cost of such training can be prohibitive as the network size and input dimensions grow. Inspired by the relationship between robustness and curvature, we propose a novel regularizer which incorporates first and second order information via a quadratic approximation to the adversarial loss. The worst case quadratic loss is approximated via an iterative scheme. It is shown that using only a single iteration in our regularizer achieves stronger robustness than prior gradient and curvature regularization schemes, avoids gradient obfuscation, and, with additional iterations, achieves strong robustness with significantly lower training time than AT. Further, it retains the interesting facet of AT that networks learn features which are well-aligned with human perception. We demonstrate experimentally that our method produces higher quality human-interpretable features than other geometric regularization techniques. These robust features are then used to provide human-friendly explanations to model predictions.

研究の動機と目的

• 敵対的訓練（AT）の高い計算コストを低減しつつ、強力なロバストネスを維持すること。
• ATで一般的に見られる勾配の誤ごしを、訓練プロセスに曲率情報を組み込むことで軽減すること。
• 対照的説明を支援する、ロバストで人間の価値観に一致する特徴を学習することで、モデルの解釈可能性を向上させること。
• 有用な正の特徴と負の特徴を用いて、効率的で高品質なサリエンシーマップを生成する正則化項を開発すること。
• 敵対的攻撃における第二階層情報が、より信頼性が高く解釈可能なロバストモデルをもたらすことを示すこと。

提案手法

• データポイントの近傍における最悪ケース損失をモデル化するため、一次および二次の勾配情報を用いた、敵対的リスクの局所的二次近似に基づく正則化項を提案する。
• 投影を不要とするFrank-Wolfe反復スキームを採用し、敵対的攻撃問題の近似解を効率的に得ることで、高価な射影計算とハイパーパrameterチューニングを回避する。
• 有限差分近似を用いて曲率情報を効率的に計算し、標準的なATよりも高速な訓練を実現しつつ、追加計算量を最小限に抑える。
• 二次近似敵対的損失を訓練目的関数に正則化項として統合し、損失関数の滑らかさを促進する。
• 摂動δ_maxとδ_minを用いた対照的説明フレームワークを開発し、人間が理解可能なモデル解釈を可能にする。
• L²およびL∞の両ロバストネスに本手法を適用し、異なる敵対的ノルムにおいて一貫した改善を示す。

実験結果

リサーチクエスチョン

• RQ1 標準的な敵対的訓練と比較して、敵対的リスクの第二階層近似は、訓練時間を短縮しつつロバストネスを向上させることができるか？
• RQ2 攻撃近似に曲率情報を組み込むことで、勾配ベースの正則化やATと比較して勾配の誤ごしを軽減できるか？
• RQ3 得られたロバストモデルは、従来の幾何的正則化手法と比較して、より高品質で人間が理解可能なサリエンシーマップを生成できるか？
• RQ4 二次近似攻撃は、SCORPIOで訓練されたモデルに対して、標準的なPGD攻撃と同等に悪意ある例を特定できるか？
• RQ5 SCORPIOによって学習されたロバスト特徴は、モデル予測の意味的で反事後的（counterfactual）な説明をどの程度支援できるか？

主な発見

• SCORPIOは、標準的な敵対的訓練とほぼ同等の敵対的ロバストネスを達成するが、著しく短い訓練時間で実現可能であり、1回のFrank-Wolfe反復で達成されている。
• SCORPIO-正則化モデルに対する強力なブラックボックス攻撃が成功したことで、敵対的訓練よりも勾配の誤ごしの影響が小さいことが裏付けられた。
• 二次近似攻撃は、SCORPIOで訓練されたモデルに対して、PGD攻撃と同等に悪意ある例を特定でき、近似の有効性が確認された。
• SCORPIOは、従来の幾何的正則化手法よりも高品質なサリエンシーマップを生成し、より明確で意味的に意味のある有用な正の特徴と負の特徴を示した。
• δ_minとδ_maxに基づく対照的説明フレームワークは、誤分類の原因として「マストの欠如」や「翼の欠如」といった重要な特徴を的確に同定した。
• 本手法はL²およびL∞の両ロバストネスに一般化可能であり、異なる敵対的ノルムにおいて一貫したロバストネスと解釈可能性の向上を示した。