[論文レビュー] SOAR: Second-Order Adversarial Regularization

Avery Ma, Fartash Faghri+2 more|arXiv (Cornell University)|Apr 4, 2020

Adversarial Robustness in Machine Learning参考文献 46被引用数 6

ひとこと要約

SOARは、入力摂動に関する損失関数の2次テイラー展開を用いて、最も悪い場合の損失を近似することで、深層ニューラルネットワークのロバスト性を向上させる2次の敵対的正則化手法を提案する。$\varepsilon=8/255$ $µ_{\infty}$ PGD攻撃下でCIFAR-10およびSVHNにおいて最先端のロバスト精度を達成しており、一部の設定では標準的な敵対的訓練を上回っているが、より強力なAutoAttack設定下では脆弱性が露呈されている。

ABSTRACT

Adversarial training is a common approach to improving the robustness of deep neural networks against adversarial examples. In this work, we propose a novel regularization approach as an alternative. To derive the regularizer, we formulate the adversarial robustness problem under the robust optimization framework and approximate the loss function using a second-order Taylor series expansion. Our proposed second-order adversarial regularizer (SOAR) is an upper bound based on the Taylor approximation of the inner-max in the robust optimization objective. We empirically show that the proposed method significantly improves the robustness of networks against the $\ell_\infty$ and $\ell_2$ bounded perturbations generated using cross-entropy-based PGD on CIFAR-10 and SVHN.

研究の動機と目的

• データ拡張に基づく敵対的訓練の代替として、直接的な正則化手法を提案し、モデルのロバスト性を向上させること。
• ロバスト最適化における内側の最大化問題を、入力摂動に関する損失関数の2次テイラー展開を用いて近似することで、ロバスト性を向上させること。
• 敵対的訓練の高いサンプル複雑性を解消するため、敵対的例の生成と保存を必要としないパラメータ正則化アプローチを導入すること。
• $µ_{\infty}$ および $µ_{2}$ 摂動下におけるロジスティック回帰および深層ネットワークにおけるヘッセ行列に基づく正則化の有効性を調査すること。
• AutoAttackのような強力で最先端の攻撃に対してSOARのロバスト性を評価し、特に摂動バジェット $\varepsilon$ の変化に応じた挙動を検討すること。

提案手法

• SOARは、損失関数 $\ell(x+\delta)$ の入力摂動 $\delta$ に関する2次テイラー展開を用いて、最悪ケース損失の上界を導出する。
• 正則化項は、入力に関する勾配 $\nabla_x \ell(x)$ とヘッセ行列 $\nabla_x^2 \ell(x)$ の両方を組み込み、敵対的ロバストネスのより正確な近似を可能にする。
• この手法はロバスト最適化フレームワーク内で敵対的ロバストネスを定式化し、内側の最大化問題をテイラー展開で近似することで、取り扱いやすい正則化項を導出する。
• ロジスティック回帰および深層ネットワークにおけるヘッセ行列に基づく正則化を用いる際の学習安定化を図るため、新たな初期化スキームを導入する。
• SOARは、CIFAR-10およびSVHNに対して、$\varepsilon=8/255$ および $\ell_{\infty}$ のPGDベースの攻撃を用いて評価され、標準的な敵対的訓練および他の最先端手法と比較される。
• さらに、強力な敵対的攻撃スイートであるAutoAttackを用いて、多様な攻撃戦略下でのロバストネスを評価する。

実験結果

リサーチクエスチョン

• RQ1 損失関数の2次テイラー近似は、1次手法に比べて、敵対的ロバストネスのよりタイトで効果的な上界を提供できるか？
• RQ2 ヘッセ行列に基づく正則化は、敵対的例を用いたデータ拡張を必要とせず、標準的な敵対的訓練を上回るロバスト精度を達成できるか？
• RQ3 特に摂動バジェット $\varepsilon$ が増加した場合、SOARは強力で適応的な攻撃（例：AutoAttack）に対してどのように性能を示すか？
• RQ4 ロジスティック回帰および深層ネットワークにおけるヘッセ行列に基づく正則化を用いる際、モデルの初期化が学習の安定化に果たす役割は何か？
• RQ5 敵対的データ拡張を一切行わずに、正則化のみで過パラメータ化されたモデルにおいて、敵対的訓練と同等のロバストネスを達成できるか？

主な発見

• CIFAR-10において、$\varepsilon=8/255$ の $\ell_{\infty}$ PGD-20攻撃に対してSOARは85.6%のロバスト精度を達成し、一部の設定で標準的な敵対的訓練を上回っている。
• SVHNでは、同じPGD-20 $\ell_{\infty}$ 攻撃下で88.9%のロバスト精度を達成しており、異なるデータセット間での優れた一般化性能を示している。
• $\varepsilon$ を1.0（入力範囲全体）に引き上げた場合、PGD-1初期化を用いたSOARは0%のロバスト精度に留まり、より強い攻撃に対して脆弱であることが示された。
• ゼロ初期化を用いたSOARは、同じ強力な $\varepsilon=1.0$ PGD-20攻撃下で9.7%のロバスト精度を示しており、初期化がロバストネスに顕著に影響することを示している。
• $\varepsilon=8/255$ のAutoAttack下では、SOARのロバスト精度は標準的な敵対的訓練を下回っており、クエリベースの探索を含む適応的攻撃成分に対して脆弱であることが示唆された。
• 本研究では、SOARの性能がより強い攻撃、特に複数の攻撃コンponentや適応戦略を組み合わせた攻撃下で劣化することが明らかになった。これは、主な制限要因を示している。