[論文レビュー] Bridging Mode Connectivity in Loss Landscapes and Adversarial Robustness

Pu Zhao, Pin‐Yu Chen+3 more|arXiv (Cornell University)|Apr 30, 2020

Adversarial Robustness in Machine Learning参考文献 39被引用数 33

ひとこと要約

本論文は、訓練済みモデル間のモード接続性を用いて、限られたクリーンデータでバックドア修復を行い、モデル間の経路に沿ったロバストネス損失の障壁を分析し、ロバストネスと入力ヘッセ行列の固有値との関連を明らかにしている。

ABSTRACT

Mode connectivity provides novel geometric insights on analyzing loss landscapes and enables building high-accuracy pathways between well-trained neural networks. In this work, we propose to employ mode connectivity in loss landscapes to study the adversarial robustness of deep neural networks, and provide novel methods for improving this robustness. Our experiments cover various types of adversarial attacks applied to different network architectures and datasets. When network models are tampered with backdoor or error-injection attacks, our results demonstrate that the path connection learned using limited amount of bonafide data can effectively mitigate adversarial effects while maintaining the original accuracy on clean data. Therefore, mode connectivity provides users with the power to repair backdoored or error-injected models. We also use mode connectivity to investigate the loss landscapes of regular and robust models against evasion attacks. Experiments show that there exists a barrier in adversarial robustness loss on the path connecting regular and adversarially-trained models. A high correlation is observed between the adversarial robustness loss and the largest eigenvalue of the input Hessian matrix, for which theoretical justifications are provided. Our results suggest that mode connectivity offers a holistic tool and practical means for evaluating and improving adversarial robustness.

研究の動機と目的

• DNNの敵対的ロバスト性を研究するためにモード接続性の利用を動機づける。
• 限定的な正規データを用いて改ざんされたモデルを修復する経路接続手法を開発する。
• 通常trainedと adversarially-trainedモデル間の経路上のロバストネス損失の景観を調査する。
• ロバストネス損失と入力ヘッセ行列の最大固有値との理論的・実証的な関連を提供する。
• アーキテクチャ（VGG/ResNet）とデータセット（CIFAR-10/SVHN）全体で有効性を示す。

提案手法

• t in [0,1] でパラメトリック曲線 φθ(t) によって二つの重み設定 w1 と w2 の間に高精度の経路を定義する。
• ベジェ曲線/多項式的パラメータ化を用いて経路上の期待損失を最小化し θ を見つける（モデル間の経路）。
• 限定的な正規データを用いて経路を訓練しバックドアやエラー注入モデルを修復し、ベースラインと比較する。
• 経路の有効性とロバストネスの相関を説明するために入力勾配とヘッセ行列を分析する。
• 通常とロバストな損失景観を経路上で比較する。
• PGD攻撃でロバストネスを評価し、最大の入力ヘッセ固有値との相関を測定する。

実験結果

リサーチクエスチョン

• RQ1 モード接続性は限定的なクリーンデータを用いて精度を回復し、バックドアの脆弱性を低減できるか？
• RQ2 経路ベースの接続はエラー注入されたモデルを修復し、注入された故障を抑制できるか？
• RQ3 通常訓練と敵対的訓練モデル間の経路に沿ったロバストネス損失の景観はどうなるか？
• RQ4 経路上のロバストネス損失と入力ヘッセの最大固有値との定量的な関係はあるか？
• RQ5 これらの現象はアーキテクチャとデータセット全体でどの程度一般化するか？

主な発見

• Path connections with limited bonafide data restore clean accuracy while greatly reducing backdoor attack success rates.
• Path-based repair outperforms fine-tuning, training from scratch, pruning, and random perturbations in mitigating backdoors and errors.
• Robustness loss exhibits a barrier on paths between regular and adversarially-trained models, supporting no-free-lunch intuition in adversarial robustness.
• A strong correlation is observed between robustness loss and the largest eigenvalue of the input Hessian on the path (high PCC values).
• Experiments on CIFAR-10 (VGG) and SVHN (ResNet) show consistent behavior across architectures and data, including resilience to adaptive path-aware attacks.