[論文レビュー] You Only Propagate Once: Painless Adversarial Training Using Maximal Principle

Dinghuai Zhang, Tianyuan Zhang+3 more|arXiv (Cornell University)|May 2, 2019

Adversarial Robustness in Machine Learning参考文献 22被引用数 45

ひとこと要約

YOPO（You Only Propagate Once）は、Pontryaginの最大化原理を活用して、各敵対的更新に対して1回のみフル前向きおよび後向き伝搬を実行することで、計算コストを低減する新しい敵対的訓練手法である。敵対的更新がネットワークの1層目のパラメータにのみ依存することを利用することで、YOPOはPGDと同等のロバストな正確性を達成し、GPU時間の1/5から1/4にまで短縮する。

ABSTRACT

Deep learning achieves state-of-the-art results in many tasks in computer vision and natural language processing. However, recent works have shown that deep networks can be vulnerable to adversarial perturbations, which raised a serious robustness issue of deep networks. Adversarial training, typically formulated as a robust optimization problem, is an effective way of improving the robustness of deep networks. A major drawback of existing adversarial training algorithms is the computational overhead of the generation of adversarial examples, typically far greater than that of the network training. This leads to the unbearable overall computational cost of adversarial training. In this paper, we show that adversarial training can be cast as a discrete time differential game. Through analyzing the Pontryagin's Maximal Principle (PMP) of the problem, we observe that the adversary update is only coupled with the parameters of the first layer of the network. This inspires us to restrict most of the forward and back propagation within the first layer of the network during adversary updates. This effectively reduces the total number of full forward and backward propagation to only one for each group of adversary updates. Therefore, we refer to this algorithm YOPO (You Only Propagate Once). Numerical experiments demonstrate that YOPO can achieve comparable defense accuracy with approximately 1/5 ~ 1/4 GPU time of the projected gradient descent (PGD) algorithm. Our codes are available at https://https://github.com/a1600012888/YOPO-You-Only-Propagate-Once.

研究の動機と目的

• 敵対的訓練の高い計算コストを軽減すること。これは、敵対的例の繰り返し生成に起因する。
• ロバストネスを損なわずに敵対的訓練中にフル前向きおよび後向き伝搬の回数を削減すること。
• 敵対的最適化問題の構造的性質を活用して、効率的なパラメータ更新を可能にすること。
• 大幅に短縮された訓練時間で高い防御正確性を維持する手法を開発すること。

提案手法

• YOPOは敵対的訓練を離散時間の微分ゲームとして定式化し、最適性条件を分析するためにPontryaginの最大化原理（PMP）を適用する。
• 解析により、敵対的更新がネットワークの1層目のパラメータにのみ依存することが明らかになった。
• この知見により、YOPOは敵対的更新中に大部分の前向きおよび後向き伝搬を1層目に制限できる。
• フルネットワークのバックプロパゲーションは、敵対的更新のグループごとに1回のみ実行されるため、計算オーバーヘッドが著しく低減される。
• 標準的なネットワーク訓練ダイナミクスを維持しながら、深層部の冗長な計算を最小限に抑える。
• YOPOは、複数回の敵対的ステップ間で1層目の活性化および勾配を再利用する、変更された訓練ループを用いる。

実験結果

リサーチクエスチョン

• RQ1 最適化問題の構造を活用することで、敵対的訓練の計算コストを著しく低減できるか？
• RQ2 敵対的更新ごとにフルバックプロパゲーションを1回のみに制限しても、ロバストネスが低下しないか？
• RQ3 敵対的更新が1層目のパラメータにのみ依存するという性質が、効率的な訓練を可能にするか？
• RQ4 PMPに基づく手法が、著しく短縮された訓練時間でPGDと同等のロバスト性を達成できるか？

主な発見

• YOPOはCIFAR-10やSVHNといった標準ベンチマークにおいて、PGDと同等の防御正確性を達成する。
• YOPOはPGDに比べてGPU訓練時間を約1/5から1/4にまで短縮する。
• 敵対的更新グループごとに1回のフルバックプロパゲーションのみを実行しても、ロバストネスが維持される。
• ネットワークアーキテクチャや損失関数を変更せずに、計算効率の向上が達成された。
• 実験的結果により、PMPから得られた理論的洞察が実際の訓練でも成り立つことが確認され、効果的で効率的な訓練が可能であることが示された。