[논문 리뷰] Adversarially Robust Generalization Requires More Data

Ludwig Schmidt, Shibani Santurkar외 3명|arXiv (Cornell University)|2018. 04. 30.

Adversarial Robustness in Machine Learning참고 문헌 22인용 수 359

한 줄 요약

본 논문은 적대적으로 강건한 일반화(adversarially robust generalization)를 달성하려면 표준 일반화보다 훨씬 더 많은 데이터가 필요하다고 보이며, 거의 타이트한 정보 이론적 하한을 제시하고 이 현상을 MNIST, CIFAR-10, SVHN에서 실증적으로 확인한다.

ABSTRACT

Machine learning models are often susceptible to adversarial perturbations of their inputs. Even small perturbations can cause state-of-the-art classifiers with high "standard" accuracy to produce an incorrect prediction with high confidence. To better understand this phenomenon, we study adversarially robust learning from the viewpoint of generalization. We show that already in a simple natural data model, the sample complexity of robust learning can be significantly larger than that of "standard" learning. This gap is information theoretic and holds irrespective of the training algorithm or the model family. We complement our theoretical results with experiments on popular image classification datasets and show that a similar gap exists here as well. We postulate that the difficulty of training robust classifiers stems, at least partially, from this inherently larger sample complexity.

연구 동기 및 목표

• 표준 일반화와 적대적으로 강건한 일반화 사이에서 샘플 복잡도(sample complexity)가 어떻게 다른지에 대한 질문을 동기화하고 형식화한다.
• 간단한 데이터 모델조차도 강건한 일반화에 더 많은 데이터가 필요함을 보여주는 정보 이론적 하한을 제시한다.
• 가우시안(Gaussian)과 베르누이(Bernoulli) 데이터 모델을 비교하여 분포가 강건성에 미치는 영향을 이해한다.
• 강건 학습을 이용한 표준 비전 데이터셋에서 이론적 발견을 실증적으로 검증한다.
• 강건성 및 샘플 효율성에 영향을 미치는 실용적 시사점과 기전(예: 임계값 설정)을 제안한다.

제안 방법

• 샘플 복잡도를 연구하기 위해 두 개의 간단한 데이터 모델(가우시안 혼합, 베르누이)에 대해 l_infty 섭동하에서의 강건한 분류 오차를 정의한다.
• 가우시안 모델에서 n이 epsilon^2 sqrt(d) / log d와 함께 스케일링하는 거의 타이트한 하한을 보이며, 강건한 일반화가 표준 일반화보다 더 많은 샘플을 요구한다는 것을 증명한다.
• 베르누이 모델에서 비선형 임계값(thresholding)이 강건한 샘플 복잡성을 감소시킬 수 있음을 보여주며, 선형 분류기와의 대조를 제시한다.
• PGD 공격하에서 강건성을 평가하고 데이터를 부분 샘플링하여 MNIST, CIFAR-10, SVHN에서 이론을 보완하는 실험을 수행한다.
• 임계값 설정과 데이터 분포가 강건성 및 샘플 효율성에 미치는 영향을 보여주며, CIFAR-10의 과적합 및 MNIST의 용이성과의 관련성을 제시한다.

실험 결과

연구 질문

• RQ1 간단한 데이터 모델에서 적대적으로 강건한 일반화의 샘플 복잡도는 표준 일반화와 어떻게 비교되는가?
• RQ2 정보 이론적 하한이 학습 알고리즘이나 모델 클래스에 관계없이 강건한 일반화의 내재적 난함을 시사하는가?
• RQ3 다른 데이터 생성 과정(Gaussian 대 Bernoulli)이 강건 일반화와 잠재적 해결책(예: 임계값 설정)에 어떤 영향을 미치는가?
• RQ4 실제 데이터셋(MNIST, CIFAR-10, SVHN)에 대한 실증 관찰이 이론적 하한과 통찰과 일치하는가?
• RQ5 현실적으로 강건한 데이터 요구를 줄이고 강건성을 향상시키는 실용적 기전은 무엇인가?

주요 결과

• 가우시안 모델에서 강건한 일반화는 표준 일반화보다 훨씬 더 많은 데이터가 필요하며, 거의 타이트한 하한은 n이 대략 epsilon^2 sqrt(d) / log d로 스케일링함을 보여준다.
• 베르누이 데이터 모델은 선형 분류기가 높은 강건 데이터 수요에 직면하지만, 비선형 임계값 작용은 더 적은 샘플로 강건성을 달성할 수 있음을 보여 주어 분포 의존적 동작을 나타낸다.
• 정보 이론적 하한은 모든 학습 알고리즘에 적용되어, 고차원에서 작은 샘플 크기로는 강건 오차를 낮게 유지할 수 없음을(차원 의존적 격차) 확립한다.
• MNIST, CIFAR-10, SVHN에 대한 실험은 명확한 데이터-강건성 트레이드오프를 보여주며, 강건 정확도 플래토는 더 큰 학습 세트가 필요하고 이론과 일치한다; MNIST에서 임계값 설정이 도움이 된다.
• Bernoulli 모델의 통찰과 일치하는 임계값 계층은 강건한 샘플 복잡성을 상당히 감소시키고 이진 유사 데이터에서 실용적인 강건성을 향상시킬 수 있다.