[論文レビュー] Adversarial Vulnerability of Neural Networks Increases with Input Dimension

Carl-Johann Simon-Gabriel, Yann Ollivier+3 more|arXiv (Cornell University)|Sep 27, 2018

Adversarial Robustness in Machine Learning参考文献 9被引用数 30

ひとこと要約

この論文は、入力次元が大きくなるにつれてニューラルネットワークの adversarial vulnerability が増加することを示している。これは、損失関数の入力に関する勾配の ℓ₁-ノルムが入力サイズの平方根に比例して増大するためである。勾配正則化と adversarial training の間の関係を新たに提唱し、二重バックプロパゲーションが1次近似において adversarial training と同等であることを示した。また、ストライドプーリングを平均プーリングに置き換えることで脆弱性が低下することを示した。

ABSTRACT

Over the past four years, neural networks have proven vulnerable to adversarial images: targeted but imperceptible image perturbations lead to drastically different predictions. We show that adversarial vulnerability increases with the gradients of the training objective when seen as a function of the inputs. For most current network architectures, we prove that the $\ell_1$-norm of these gradients grows as the square root of the input-size. These nets therefore become increasingly vulnerable with growing image size. Over the course of our analysis we rediscover and generalize double-backpropagation, a technique that penalizes large gradients in the loss surface to reduce adversarial vulnerability and increase generalization performance. We show that this regularization-scheme is equivalent at first order to training with adversarial noise. Finally, we demonstrate that replacing strided by average-pooling layers decreases adversarial vulnerability. Our proofs rely on the network's weight-distribution at initialization, but extensive experiments confirm their conclusions after training.

研究の動機と目的

• 深層ニューラルネットワークにおける adversarial vulnerability が入力次元にどのようにスケーリングするかを調査すること。
• 損失関数の勾配ノルムと adversarial robustness の関係を分析すること。
• 二重バックプロパゲーションを adversarial training の一種として一般化・再解釈すること。
• 特にストライドプーリングを平均プーリングに置き換えるというアーキテクチャの変更が adversarial vulnerability に与える影響を評価すること。
• 重み初期化に基づく理論的予測が、学習後の経験的結果と一致するかを検証すること。

提案手法

• 入力次元 d に対して ℓ₁-ノルムが √d に比例することを示す、損失関数の入力に関する勾配ノルムの理論的分析。
• 二重バックプロパゲーションと adversarial training が1次近似において同等であることを導出。
• 損失関数の勾配が大きい場合にペナルティを与える勾配正則化の適用。
• 特にストライド畳み込みを平均プーリング層に置き換えたアーキテクチャの変更の経験的評価。
• 初期化時の重み分布を用いて理論的境界を導出し、その後の学習後に検証。
• 勾配正則化の代理として adversarial ノイズを用いて学習することで、耐性を向上させること。

実験結果

リサーチクエスチョン

• RQ1 深層ニューラルネットワークにおける adversarial vulnerability は、入力次元が大きくなるとどのように変化するか？
• RQ2 損失関数の勾配ノルムと adversarial robustness の間にはどのような数学的関係があるか？
• RQ3 最適化ダイナミクスの観点から、二重バックプロパゲーションは adversarial training と同等か？
• RQ4 平均プーリングのようなアーキテクチャ的選択は、adversarial vulnerability を低減できるか？
• RQ5 初期化に基づく理論的予測は、標準的な学習後に成り立つか？

主な発見

• 損失関数の入力に関する勾配の ℓ₁-ノルムは、入力次元の平方根に比例して増大し、入力が大きくなるほど adversarial vulnerability が高まることを示唆している。
• 二重バックプロパゲーションは1次近似において数学的に adversarial training と同等であり、その耐性向上の有効性に理論的根拠を与える。
• ストライドプーリング層を平均プーリング層に置き換えることで adversarial vulnerability が低下し、アーキテクチャ設計が耐性に与える影響を示している。
• ネットワーク初期化時の重み分布に基づく理論的予測が、標準的な学習後に成り立つことが確認され、研究結果の一般化可能性が裏付けられた。
• 勾配正則化は、損失関数の急峻な変化をペナルティとして与えることで、adversarial vulnerability を効果的に低減する。
• adversarial robustness は、損失関数の幾何構造、特に勾配の大きさと本質的に関連している。