[論文レビュー] Understanding the Interaction of Adversarial Training with Noisy Labels

Jianing Zhu, Jingfeng Zhang+6 more|arXiv (Cornell University)|Feb 6, 2021

Adversarial Robustness in Machine Learning参考文献 43被引用数 15

ひとこと要約

この論文は、 adversarial training (AT) が、攻撃に成功するまでに必要な PGD ステップ数をデータのロバストネスの代理指標として用いることで、ノイズのあるラベルの影響を本質的に軽減することを明らかにしている。本研究では、この幾何学的特徴を有する測定値（PGD ステップ数）を用いて、誤ラベル付きデータおよびレアデータを特定する新しい基準を提案し、敵対的ラベル汚染下でも標準的手法を上回る頑健なラベルアノテータの構築に成功した。

ABSTRACT

Noisy labels (NL) and adversarial examples both undermine trained models, but interestingly they have hitherto been studied independently. A recent adversarial training (AT) study showed that the number of projected gradient descent (PGD) steps to successfully attack a point (i.e., find an adversarial example in its proximity) is an effective measure of the robustness of this point. Given that natural data are clean, this measure reveals an intrinsic geometric property -- how far a point is from its class boundary. Based on this breakthrough, in this paper, we figure out how AT would interact with NL. Firstly, we find if a point is too close to its noisy-class boundary (e.g., one step is enough to attack it), this point is likely to be mislabeled, which suggests to adopt the number of PGD steps as a new criterion for sample selection for correcting NL. Secondly, we confirm AT with strong smoothing effects suffers less from NL (without NL corrections) than standard training (ST), which suggests AT itself is an NL correction. Hence, AT with NL is helpful for improving even the natural accuracy, which again illustrates the superiority of AT as a general-purpose robust learning criterion.

研究の動機と目的

• 敵対的訓練（AT）とノイズのあるラベル（NL）の相互作用を、これまで独立して研究されてきたものとは別個に調査すること。
• ラベルノイズが存在する状況でも、標準学習（ST）と比較してなぜ AT が誤ラベルデータの記憶を抑制するのかを理解すること。
• 誤ラベル付きデータおよび稀なデータを特定するための新しいロバストネスベースの測定値（敵対的例を生成するための PGD ステップ数）を提案すること。
• PGD ステップ数を活用して、敵対的汚染下の未ラベルデータに対して信頼性の高いラベルを割り当てる、頑健なラベルアノテータを開発すること。
• 敵対的訓練から導出される幾何学的ロバストネス測定値を用いて、ラベルの信頼性に対するスコアを提供すること。

提案手法

• 誤分類される敵対的例を生成するために必要な投影勾配降下法（PGD）ステップ数を、データのロバストネスの幾何的測定値（κ と表記）として提案する。
• モデルの予測信頼性と敵対的ロバストネスに基づき、κ < K かつ損失 > L の場合に未ラベルデータのラベルを再割り当てする頑健なアノテータアルゴリズムを導入する。
• 局所的な意思決定境界を滑らかにするために、PGD を用いた敵対的データ生成を伴う敵対的訓練を採用し、ノイズの多いサンプルの記憶を低減する。
• PGD ステップ数（κ）を信頼性スコアとして活用：κ が大きいほど、ラベル予測の信頼性が高いことを示す。
• 敵対的ラベル操作下の未ラベルデータに頑健アノテータを適用し、ノイズのある条件下でも一般化性能が向上することを実証する。
• CIFAR-10 および合成データセットを用いて手法を検証し、対称的ラベルノイズと敵対的データ摂動下での性能を比較する。

実験結果

リサーチクエスチョン

• RQ1 敵対的訓練は、モデルの一般化性能と記憶行動の観点から、ノイズのあるラベルとどのように相互作用するのか？
• RQ2 敵対的例を生成するための PGD ステップ数は、誤ラベルまたはレアデータを特定するための信頼できる代理指標として機能するか？
• RQ3 敵対的訓練は、明示的な是正機構を備えずに、ラベルノイズを暗黙的に是正する形で機能するのか、その程度はどの程度か？
• RQ4 標準的なラベル割り当て手法と比較して、敵対的ラベル汚染下での頑健アノテータの性能はいかがなものか？
• RQ5 PGD ステップ数（κ）は、未ラベルデータにおけるラベル信頼性の信頼性スコアとして信頼できるか？

主な発見

• 敵対的訓練では、誤ったサンプルの周囲に小さなクラスタが形成されないという事実から、誤ラベルデータの記憶が標準学習と比較して顕著に低減していることが示された。
• 特にノイズのある状況下では、損失値よりも PGD ステップ数（κ）の方が、正しいデータと誤ったデータを区別するのに効果的であることが判明した。
• 20% の対称的ラベルノイズが存在する状況でも、未ラベルデータの 100% が敵対的に汚染された状態であっても、頑健アノテータは高いラベル精度を維持し、標準的および PGD ベースのベースラインを上回った。
• κ 値が高いデータ（例：κ ≥ 10）は著しく高い予測精度（実験では 90% 以上）を示し、κ が信頼性の高い信頼性スコアであることが確認された。
• 頑健アノテータは、正しくラベル付けされたデータと誤ってラベル付けされたデータの間の訓練精度の差を縮小し、AT は ST と比較して誤ラベルポイントでの訓練精度を低く抑えることがわかった。
• ノイズのあるラベルを伴う敵対的訓練は、ロバストネスと自然な精度の両方を向上させ、AT がラベルノイズを暗黙的に是正する一般化されたロバスト学習基準として機能することを示した。