[論文レビュー] Understanding Robust Overfitting of Adversarial Training and Beyond

Chaojian Yu, Bo Han+5 more|arXiv (Cornell University)|Jun 17, 2022

Adversarial Robustness in Machine Learning被引用数 6

ひとこと要約

この論文は、強い敵対的攻撃下で、小損失データが過剰に容易に適合されることが、敵対的訓練におけるロバスト過学習の原因であると特定した。本稿では、損失スケーリングや重み摺り替えを用いて、こうしたデータの損失を増加させる最小損失制約付き敵対的訓練（MLCAT）を提案し、ロバスト過学習を効果的に解消するとともに、データセットやアーキテクチャを問わず敵対的ロバストネスを向上させた。

ABSTRACT

Robust overfitting widely exists in adversarial training of deep networks. The exact underlying reasons for this are still not completely understood. Here, we explore the causes of robust overfitting by comparing the data distribution of \emph{non-overfit} (weak adversary) and \emph{overfitted} (strong adversary) adversarial training, and observe that the distribution of the adversarial data generated by weak adversary mainly contain small-loss data. However, the adversarial data generated by strong adversary is more diversely distributed on the large-loss data and the small-loss data. Given these observations, we further designed data ablation adversarial training and identify that some small-loss data which are not worthy of the adversary strength cause robust overfitting in the strong adversary mode. To relieve this issue, we propose \emph{minimum loss constrained adversarial training} (MLCAT): in a minibatch, we learn large-loss data as usual, and adopt additional measures to increase the loss of the small-loss data. Technically, MLCAT hinders data fitting when they become easy to learn to prevent robust overfitting; philosophically, MLCAT reflects the spirit of turning waste into treasure and making the best use of each adversarial data; algorithmically, we designed two realizations of MLCAT, and extensive experiments demonstrate that MLCAT can eliminate robust overfitting and further boost adversarial robustness.

研究の動機と目的

• 敵対的訓練におけるロバスト過学習の根本的原因、特に強い敵対的攻撃設定下での原因を調査すること。
• 従来の正則化や早期停止がロバスト過学習を緩和できない理由を理解すること。
• 敵対的訓練において、小損失データが、それらが適合されやすくなるとロバスト過学習に寄与することを同定すること。
• 追加データに依存せずに、容易な敵対的例に対する過学習を防ぐ新しい訓練パラダイムを提案すること。
• 小損失データに対する損失を戦略的に増加させることで、敵対的ロバストネスを向上させる汎用的な手法を設計・検証すること。

提案手法

• 閾値 ℓ_min を用いて、データを小損失群と大損失群に分ける、プロトタイプである最小損失制約付き敵対的訓練（MLCAT）を提案する。
• ミニバッチ内の小損失データに対して、損失増加機構（損失スケーリングと重み摺り替え）を適用する。
• 小損失例の損失を増加させるために、係数 ℓ_min / ℓ_i を損失に乗算する損失スケーリングを用いる。
• バックプロパゲーション中にモデル重みに学習可能なベクトル v を加えることで、小損失データの損失を増加させる重み摺り替えを採用する。
• 損失が ℓ_min より小さいデータにのみ、これらの追加措置を適用する最小損失制約を導入する。
• MLCATの2つの実装形態を設計：MLCAT-LS（損失スケーリング）とMLCAT-WP（重み摺り替え）、両者ともロバスト過学習の抑制に有効である。

実験結果

リサーチクエスチョン

• RQ1 なぜ敵対的訓練においてロバスト過学習が発生するのか、特に強い敵対的攻撃設定下でか。
• RQ2 小損失データが敵対的訓練中にロバスト過学習に与える役割は何か。
• RQ3 容易に学習可能な敵対的例の損失を意図的に増加させることで、ロバスト過学習を緩和できるか。
• RQ4 最小損失閾値 ℓ_min が、MLCATによる過学習防止効果に与える影響は何か。
• RQ5 追加の訓練データやアーキテクチャ変更なしに、MLCATが敵対的ロバストネスを向上させられるか。

主な発見

• ロバスト過学習は、モデルが訓練中によりロバストになるにつれ、小損失データの敵対的例が過剰に容易に適合されるため発生する。
• データアブレーション実験により、小損失データを除去するとロバスト過学習が発生するが、サンプル数の削減により一般化性能が低下するため、単純に除去することは有害であることが確認された。
• CIFAR-10 では ℓ_min = 1.5、CIFAR-100 では ℓ_min = 4.0 を用いた MLCAT は、ロバスト過学習を効果的に排除し、ロバストネスギャップをほぼゼロにまで縮小した。
• MLCAT-LS と MLCAT-WP は、CIFAR-10、SVHN、CIFAR-100 において、さまざまな脅威モデル下でロバスト過学習を排除し、ロバスト精度を向上させた。
• 小損失データの損失を増加させる戦略（例：損失スケーリング、重み摺り替え）はロバストネスを向上させるが、損失を減少させる戦略は逆に悪化させる。
• この手法は、さまざまなネットワークアーキテクチャ（例：PreAct ResNet-18、Wide ResNet）および脅威モデル（例：ℓ∞、ℓ2）に一般化可能であり、広範な適用性を示した。