[論文レビュー] To be Robust or to be Fair: Towards Fairness in Adversarial Training

Han Xu, Liu, Xiaorui+3 more|arXiv (Cornell University)|Oct 13, 2020

Adversarial Robustness in Machine Learning参考文献 33被引用数 23

ひとこと要約

この論文は、敵対的訓練における深刻な公平性の問題を特定している：バランスの取れたデータセットでさえ、標準的精度と耐性の両方において、クラスごとの顕著な差異が生じる。これを解決するために、著者らは動的デバイアス化フレームワークであるFair Robust Learning (FRL)を提案する。このフレームワークは境界誤差の再重み付けと摂動マージンの再マップを実施し、全体の性能を損なわずに最悪クラスの耐性を著しく向上させる。

ABSTRACT

Adversarial training algorithms have been proved to be reliable to improve machine learning models' robustness against adversarial examples. However, we find that adversarial training algorithms tend to introduce severe disparity of accuracy and robustness between different groups of data. For instance, a PGD adversarially trained ResNet18 model on CIFAR-10 has 93% clean accuracy and 67% PGD l-infty-8 robust accuracy on the class "automobile" but only 65% and 17% on the class "cat". This phenomenon happens in balanced datasets and does not exist in naturally trained models when only using clean samples. In this work, we empirically and theoretically show that this phenomenon can happen under general adversarial training algorithms which minimize DNN models' robust errors. Motivated by these findings, we propose a Fair-Robust-Learning (FRL) framework to mitigate this unfairness problem when doing adversarial defenses. Experimental results validate the effectiveness of FRL.

研究の動機と目的

• 敵対的訓練が、バランスの取れたデータセットですら、標準的精度と耐性において顕著なクラスごとの差異を生じる理由を調査すること。
• この公平性の問題が、データのアンバランスやモデル容量の問題とは異なる、根本的な要因に起因することを理解すること。
• 敵対的訓練におけるクラスごとの耐性差を軽減するための新規フレームワーク、Fair Robust Learning (FRL) を提案すること。
• FRLの有効性を、複数のデータセット、モデル、敵対的訓練手法において検証すること。

提案手法

• 敵対的訓練中に各クラスの境界誤差を動的に再重み付けるFair Robust Learning (FRL) フレームワークを提案すること。
• 性能が低いクラスのための摂動マージンを増加させる再マップ戦略を導入し、それらのクラスの耐性を向上させること。
• 境界誤差が大きいクラスに高い損失重みを割り当てることで、モデルが困難なクラスに注目するよう促進する再重み付け機構を適用すること。
• 標準誤差と耐性誤差を同時に最小化し、クラス固有の重み付けを通じて公平性を強制する、ミニマックス最適化目的関数を用いること。
• FRLの2つのバージョンを実装する：FRL (Reweight) と FRL (Remap)。後者は耐性の均等化において優れた性能を示している。
• 再重み付けとマージン再マップがクラスごとのパフォーマンスに与える影響を分析するための広範なアブレーションスタディを実施すること。

実験結果

リサーチクエスチョン

• RQ1 なぜ敵対的訓練アルゴリズムは、データセットがバランスしている場合でも、標準的精度と耐性において顕著なクラスごとの差異を生じるのか？
• RQ2 敵対的訓練における、容易なクラスに偏るメカニズムと、困難なクラスでの性能低下の背後にある根本的要因は何か？
• RQ3 クラス固有の誤差の動的再重み付けによって、敵対的訓練における公平性の問題を軽減できるか？
• RQ4 再重み付けによる境界誤差の軽減と摂動マージンの増加といった、異なる緩和戦略が、クラス間の耐性のバランスにどのように影響するか？
• RQ5 提案されたFRLフレームワークは、全体のモデル性能を損なわずに、最悪クラスの耐性をどの程度向上させることができるか？

主な発見

• PGDを用いたCIFAR-10での敵対的訓練では、'automobile'クラスでは67%の耐性精度を示すが、'cat'クラスではわずか17%にとどまる。
• PGDで敵対的に訓練されたモデルは、'cat'画像に対して32.8%の標準誤差と82.4%の耐性誤差を示し、平均誤差（15.5%と56.4%）を大きく上回っている。
• FRL (Remap) は、'cat'画像の最悪クラス耐性誤差を82.4%から57.6%に低下させ、公平性が著しく向上した。
• 再重み付けのみでは耐性が向上せず、標準誤差が増加する一方で境界誤差は減少するため、トレードオフの関係にあることが示された。
• 摂動マージンの再マップは、標準誤差を増加させることなく境界誤差を効果的に低減でき、再重み付けよりも優れた有効性を示した。
• FRLフレームワークは、CIFAR-10、SVHN、Tiny ImageNetを含む複数のデータセットとモデルにおいて、敵対的耐性の公平性で最先端の性能を達成した。