[論文レビュー] Towards Understanding Adversarial Examples Systematically: Exploring Data Size, Task and Model Factors

Ke Sun, Zhanxing Zhu+1 more|arXiv (Cornell University)|Feb 28, 2019

Adversarial Robustness in Machine Learning参考文献 25被引用数 17

ひとこと要約

この論文は、データサイズ、タスクの複雑さ、モデルアーキテクチャを分析することで、深層ニューラルネットワークにおける敵対的ロバストネスを体系的かつ包括的に調査している。標準学習下でのロバスト一般化には、標準一般化よりも多くのデータを要することが明らかになった。限られたデータ環境下では、精度とロバストネスのトレードオフが生じるが、データスケーリングが進むとこのトレードオフは消え、最終的には両者の最適性能が一致する。

ABSTRACT

Most previous works usually explained adversarial examples from several specific perspectives, lacking relatively integral comprehension about this problem. In this paper, we present a systematic study on adversarial examples from three aspects: the amount of training data, task-dependent and model-specific factors. Particularly, we show that adversarial generalization (i.e. test accuracy on adversarial examples) for standard training requires more data than standard generalization (i.e. test accuracy on clean examples); and uncover the global relationship between generalization and robustness with respect to the data size especially when data is augmented by generative models. This reveals the trade-off correlation between standard generalization and robustness in limited training data regime and their consistency when data size is large enough. Furthermore, we explore how different task-dependent and model-specific factors influence the vulnerability of deep neural networks by extensive empirical analysis. Relevant recommendations on defense against adversarial attacks are provided as well. Our results outline a potential path towards the luminous and systematic understanding of adversarial examples.

研究の動機と目的

• 孤立した仮説にとどまらない、敵対的例に関する体系的かつ包括的理解を提供すること。
• データサイズが標準一般化と敵対的ロバストネスのトレードオフに与える影響を調査すること。
• 入力次元や分類クラス数といったタスク依存要因がモデルの敵対的脆弱性に与える影響を分析すること。
• モデル固有の要因（アーキテクチャ、容量）がロバストネスに果たす役割を評価すること。
• 敵対的防御戦略の改善に役立つ、根拠に基づいた提言を提示すること。

提案手法

• 訓練データサイズを変化させた状況下で、敵対的ロバストネスと一般化性能を実験的に評価し、補助分類器生成対極ネットワーク（ACGAN）によるデータオーグメンテーションを含む。
• MNIST、SVHN、CIFAR10で、CNN、ロジスティック回帰、LinearSVMの異なるアーキテクチャ間での性能を比較した。
• FGSM、PGD、CW攻撃に対する成功防御率を、制御された環境下で測定し、ロバストネスを評価した。
• 勾配の大きさ（L1、L2、L∞ノルム）を分析することで、モデル容量と勾配ベース攻撃に対するロバストネスの相関関係を検証した。
• 畳み込み層のフィルタ数を増加させることでモデル容量を体系的に変化させ、敵対的ロバストネスに与える影響を評価した。
• CNNとロジスティック回帰には標準的な交差エントロピー損失、LinearSVMには多クラスヒンジ損失を用いて、公平な比較を実現した。

実験結果

リサーチクエスチョン

• RQ1 標準学習下での敵対的ロバスト一般化には、標準一般化よりも多くの訓練データを要するのか？
• RQ2 データサイズが増加するに従い、標準一般化とロバストネスのトレードオフはどのように変化するのか。特に、データオーグメンテーションを適用した場合の挙動を含む。
• RQ3 入力次元や分類クラス数といったタスク依存要因は、モデルの敵対的脆弱性にどのように影響を与えるか？
• RQ4 モデル容量を増加させることで、特に勾配ベースでない攻撃（例：CW攻撃）に対してロバストネスがどの程度向上するのか？
• RQ5 勾配の大きさとモデル容量の間には、敵対的ロバストネスにおいてどのような関係があるのか？

主な発見

• 標準学習下での敵対的ロバスト一般化には、標準一般化よりも多くのデータが必要であり、精度とロバストネスのトレードオフは、あるデータサイズの閾値を超えると消失する。
• データが十分に大きい場合、ロバスト一般化は標準一般化に収束する。これは、大規模データ環境下ではロバストネスと一般化が一貫していることを示している。
• 入力次元が上昇するに従い、ロバストネスは一時的に向上し、その後低下するが、分類クラス数が増加するにつれて単調に低下する。
• 勾配ベース攻撃（FGSM、PGD）に対しては耐性が向上するが、モデル容量の増加はCW攻撃に対してはロバストネスを向上させない。これは、実際のロバストネス向上が限定的であることを示している。
• 大きなモデルでは勾配の大きさ（L1、L2、L∞ノルム）が小さくなる傾向があり、勾配ベース攻撃に対してより強い耐性を示すが、CWのような最適化ベース攻撃には同様の効果が見られない。
• CNNは、ロジスティック回帰やLinearSVMに比べ、一般化性能およびロバストネスの両面で優れている。これは、同じ条件下でも深層ネットワークが従来のモデルよりも本質的にロバストであることを示している。