[논문 리뷰] Theoretical Analysis of Adversarial Learning: A Minimax Approach

Zhuozhuo Tu, Jingwei Zhang외 1명|arXiv (Cornell University)|2018. 11. 13.

Adversarial Robustness in Machine Learning참고 문헌 53인용 수 16

한 줄 요약

이 논문은 기계학습에서 적대적 로버스트니의 이론적 분석을 위한 최소최대 프레임워크를 제안하며, 운반 맵을 통해 적대적 리스크를 최소최대 통계학적 학습 문제로 환원한다. 약한 리프시츠 조건 하에서 커버링 수를 사용하여 새로운 리스크 경계를 유도하며, 이는 다중 클래스 문제와 허프, 램프 손실과 같은 일반적인 손실에 적용 가능하다. 경계는 SVM, 딥 네ural 네트워크, PCA에서 로버스트니를 향상시키기 위해 최적화할 수 있는 두 개의 데이터에 의존하는 항을 포함한다.

ABSTRACT

Here we propose a general theoretical method for analyzing the risk bound in the presence of adversaries. Specifically, we try to fit the adversarial learning problem into the minimax framework. We first show that the original adversarial learning problem can be reduced to a minimax statistical learning problem by introducing a transport map between distributions. Then, we prove a new risk bound for this minimax problem in terms of covering numbers under a weak version of Lipschitz condition. Our method can be applied to multi-class classification problems and commonly used loss functions such as the hinge and ramp losses. As some illustrative examples, we derive the adversarial risk bounds for SVMs, deep neural networks, and PCA, and our bounds have two data-dependent terms, which can be optimized for achieving adversarial robustness.

연구 동기 및 목표

• 기계학습에서 적대적 일반화 성능을 분석하기 위한 일반적인 이론적 방법을 개발하는 것.
• 기존의 리스크 경계를 이진 분류와 0-1 손실을 초월하여 다중 클래스 문제와 비볼록 손실 함수(예: 허프 손실 및 램프 손실)로 확장하는 것.
• 특히 $l_p$-유계 적대자 존재 시 기존 연구보다 더 날카우며 더 유연한 리스크 경계를 도출하는 것.
• 지도학습과 비지도학습 모두에 적용 가능한 통합 프레임워크를 제공하는 것. 이는 PCA 포함.
• 적대적 로버스트니 향상을 위해 최적화 가능한 리스크 경계 내 데이터에 의존하는 항을 식별하는 것.

제안 방법

• 원본 데이터 분포와 변형된 데이터 분포 사이의 운반 맵을 도입하여 적대적 학습 문제를 최소최대 통계학적 학습 문제로 환원한다.
• 약한 리프시츠 조건을 적용하여 커버링 수의 관점에서 새로운 리스크 경계를 도출함으로써 다양한 모델로의 일반화를 가능하게 한다.
• 최소최대 프레임워크를 사용하여 모호성 집합 내에서 가장 나쁜 경우의 분포를 고려함으로써 적대적 변형을 포괄한다.
• 최소최대 프레임워크와 커버링 수 분석을 활용하여 SVM, 딥 네ural 네트워크, PCA에 대한 명시적 리스크 경계를 도출한다.
• 적대적 민감도의 대체 측정으로 기능하는 데이터에 의존하는 항 $\lambda_{f,P_n}^+$ 를 도입하며, 이는 정규화를 통해 최적화될 수 있다.
• 실용적인 최적화 전략으로 정규화 파라미터 $\eta$ 에 대한 그리드 서치를 수행하여 경험 리스크와 $\lambda_{f,P_n}^+ \epsilon_{\mathcal{B}}$의 합을 최소화하는 것을 제안한다.

실험 결과

연구 질문

• RQ1 이진 분류와 0-1 손실을 초월하여 적대적 로버스트니를 이론적으로 분석할 수 있는 방법은 무엇인가?
• RQ2 최소최대 프레임워크를 사용하여 $l_p$-유계 변형이 존재하는 조건 하에서 더 날카우며 데이터에 의존하는 리스크 경계를 도출할 수 있는가?
• RQ3 리스크 경계의 구조적 성질은 딥 네ural 네트워크 및 PCA와 같은 모델에서 적대적 로버스트니 향상을 위한 최적화를 가능하게 하는가?
• RQ4 기존의 비적대적 및 적대적 경계와 비교할 때 제안된 경계는 날카움과 적용 가능성 측면에서 어떻게 다른가?
• RQ5 유도된 리스크 경계를 활용하여 일반화 보장을 보장하는 새로운 적대적 로버스트 트레이닝 알고리즘을 설계할 수 있는가?

주요 결과

• 제안된 최소최대 프레임워크는 적대적 리스크를 변형된 분포 하에서의 최악의 기대 리스크로 환원하여 커버링 수를 통한 이론적 분석을 가능하게 한다.
• 딥 네ural 네트워크에 대한 유도된 리스크 경계는 $\frac{1}{\sqrt{n}} \prod_{i=1}^{L} \rho_i s_i B W \left( \sum_{i=1}^{L} \left( \frac{b_i}{s_i} \right)^{1/2} \right)^2$ 비례하는 항을 포함하며, 이는 가중치 행렬의 노름과 네트워크 깊이에 의존한다.
• SVM의 경우, $\epsilon_{\mathcal{B}} = 0$ 일 때 표준 비적대적 리스크 경계로 복원되며, 적대적 민감도를 반영하는 데이터에 의존하는 항 $\lambda_{f,P_n}^+$ 를 포함한다.
• PCA의 경우, 경계는 $\frac{576B^2k\sqrt{m}}{\sqrt{n}}$ 항을 포함하여 차원 $m$, 랭크 $k$, 데이터 유계 $B$ 에 명시적인 의존성을 보인다.
• 딥 네트워크의 경계는 이전의 $\epsilon_{\mathcal{B}}$-프리 경계보다 날카롭고, 경험 리스크와 $\lambda_{f,P_n}^+ \epsilon_{\mathcal{B}}$의 합을 최소화함으로써 최적화될 수 있다.
• 이 방법은 $\eta \in [0,1]$ 에 대한 그리드 서치를 포함하는 실용적인 트레이닝 전략을 제공하며, $\lambda_{f,P_n}^+$ 를 정규화함으로써 적대적 로버스트니 향상의 길을 제시한다.