[논문 리뷰] Adversarial examples from computational constraints

Sébastien Bubeck, Eric Price외 1명|arXiv (Cornell University)|2018. 05. 25.

Adversarial Robustness in Machine Learning참고 문헌 15인용 수 98

한 줄 요약

이 논문은 적대적 취약성이 순수하게 정보이론적 장벽이 아니라 계산적 한계에서 비롯될 수 있음을 주장하고, 견고한 학습과 비견고한 학습 사이의 SQ-hardness separation을 제시하며, 일부 경우에는 샘플 효율적이고 정보이론적으로 견고한 학습을 보임.

ABSTRACT

Why are classifiers in high dimension vulnerable to "adversarial" perturbations? We show that it is likely not due to information theoretic limitations, but rather it could be due to computational constraints. First we prove that, for a broad set of classification tasks, the mere existence of a robust classifier implies that it can be found by a possibly exponential-time algorithm with relatively few training examples. Then we give a particular classification task where learning a robust classifier is computationally intractable. More precisely we construct a binary classification task in high dimensional space which is (i) information theoretically easy to learn robustly for large perturbations, (ii) efficiently learnable (non-robustly) by a simple linear separator, (iii) yet is not efficiently robustly learnable, even for small perturbations, by any algorithm in the statistical query (SQ) model. This example gives an exponential separation between classical learning and robust learning in the statistical query model. It suggests that adversarial examples may be an unavoidable byproduct of computational limitations of learning algorithms.

연구 동기 및 목표

• 적대적 섭동 아래에서 견고한 학습 문제를 동기 부여하고 정식화한다.
• 견고한 학습이 정보이론적으로는 쉬울 수 있지만 SQ 접근 하에서 계산적으로 어렵다는 것을 보인다.
• SQ 모델에서 견고한 학습과 고전적 학습 사이의 지수적 분리를 구체적인 작업으로 제시한다.
• 다항량의 데이터와 계산으로 견고한 학습이 가능해지는 조건을 제시한다.

제안 방법

• ε-robust 제로원 손실을 도입하고 노름화된 섭동 제약 하에서 견고한 학습 가능성을 정식화한다.
• 고차원에서 정보이론적으로 견고하게 학습 가능하지만 견고한 학습은 SQ-hard인 어려운 분포 과제를 구성한다.
• 구성된 과제에 대해 견고한 학습의 지수적 SQ 하한을 증명하기 위해 지수적으로 정밀한 오라클을 가진 통계적 질의(SQ) 모델을 사용한다.
• 견고한 가능성이 유한한 분류기 가족이 있는 설정에서 샘플 효율적 견고 학습(robust empirical risk minimization)을 암시한다.
• 연속 분포 가족 하에서 견고 학습의 샘플 복잡도를 한정하기 위해 커버링 수와 생성 모델 근사를 연결한다.

실험 결과

연구 질문

• RQ1 고차원 작업에 대해 견고한 분류자가 존재할 수 있으며, 그렇다면 견고한 학습이 반드시 계산적으로 타당한가?
• RQ2 이론상으로 견고하게 학습하기 쉬운 작업이 있고, SQ 질의로 견고하게 학습하기는 어려운가?
• RQ3 합리적인 샘플 복잡도에서 견고한 학습이 달성될 수 있는 조건은 무엇이며, 생성모델은 이것에 어떤 영향을 미치는가?
• RQ4 생성모델에 의해 근사될 수 있는 분포에 대한 견고한 학습의 난이도는 고전적 학습과 어떻게 관련되는가?

주요 결과

• 다항 자원으로 정보이론적으로 학습 가능하지만 SQ 모델에서 효율적으로 견고하게 학습할 수 없는 견고하게 가능한 분류 과제가 존재한다.
• 구성된 고차원 과제에 대해 SQ 프레임워크에서 고전적 학습과 견고한 학습 사이에 지수적 분리가 있다.
• 견고 가능성이 성립하면 견고한 경험적 위험 최소화(Robust ERM)를 통해 다항 샘플로 견고 학습이 달성될 수 있다.
• 간단한 구성은 같은 과제가 비견고하게 학습하기는 쉬우나 작은 섭동에 대해 견고한 분류기를 학습하려면 지수적 SQ 질의가 필요함을 보여준다.
• 신경망 기반 생성 모델로 근사될 수 있는 분포는 커버링 수가 상한을 가질 수 있어 특정 조건 하에서 다항 샘플 견고 학습을 가능하게 한다.