[論文レビュー] Certified Robustness to Adversarial Word Substitutions

Robin Jia, Aditi Raghunathan+2 more|arXiv (Cornell University)|Sep 3, 2019

Adversarial Robustness in Machine Learning参考文献 26被引用数 16

ひとこと要約

この論文は、区間境界伝播（IBP）を用いて、NLPにおける敵対的語置換に対して証明可能に頑健なモデルを初めて提示する。すべての語置換摂動に対する最悪ケース損失の上界を最小化することで、IMDBおよびSNLIで75%の敵対的精度を達成し、標準的訓練（8%）やデータ拡張（35%）を著しく上回る。

ABSTRACT

State-of-the-art NLP models can often be fooled by adversaries that apply seemingly innocuous label-preserving transformations (e.g., paraphrasing) to input text. The number of possible transformations scales exponentially with text length, so data augmentation cannot cover all transformations of an input. This paper considers one exponentially large family of label-preserving transformations, in which every word in the input can be replaced with a similar word. We train the first models that are provably robust to all word substitutions in this family. Our training procedure uses Interval Bound Propagation (IBP) to minimize an upper bound on the worst-case loss that any combination of word substitutions can induce. To evaluate models' robustness to these transformations, we measure accuracy on adversarially chosen word substitutions applied to test examples. Our IBP-trained models attain $75\%$ adversarial accuracy on both sentiment analysis on IMDB and natural language inference on SNLI. In comparison, on IMDB, models trained normally and ones trained with data augmentation achieve adversarial accuracy of only $8\%$ and $35\%$, respectively.

研究の動機と目的

• ラベルを保存する語置換に対してNLPモデルの脆さを解消すること。これは、意味的変化が最小限であるにもかかわらず性能が著しく低下する要因である。
• すべての可能な語置換摂動の指数的複雑性を克服すること。これは、全探索やデータ拡張が非現実的であることを意味する。
• ヒューリスティックな攻撃や限定的なデータ拡張に依存せず、すべてのこのような置換に対して頑健性を保証する訓練手法を開発すること。
• 区間境界伝播（IBP）を、LSTM や自己注意機構のような離散的・連続でないNLPレイヤーに拡張し、証明可能な頑健性の境界を計算すること。
• 証明可能頑健な訓練が、最悪の摂動下でも現実世界のNLPタスクで高い敵対的精度を示すモデルを実現できることを示すこと。

提案手法

• 任意の語置換の組み合わせによって引き起こされる最悪ケース損失の扱いやすい上界を計算するために、区間境界伝播（IBP）を用いる。
• LSTM や自己注意機構に適用可能な、NLPにおける離散的演算（乗算やソフトマックス層など）のための新しい区間境界公式を導出することで、IBPをこれらの構造に拡張する。
• 連続的摂動ではなく、離散的摂動集合（語置換）を扱えるようにIBPを適応させること。これはNLPアプリケーションにおいて不可欠である。
• IBPによる最悪ケース損失の上界を最小化することでモデルを訓練し、勾配ベースの敵対的訓練に依存せずに、証明可能に頑健な一般化を実現する。
• 感情分析（IMDB）および自然言語推論（SNLI）の分野で、さまざまなアーキテクチャ（Bag-of-Words、CNN、LSTM、アテンション）にこの手法を適用する。

実験結果

リサーチクエスチョン

• RQ1 NLPにおけるすべての可能な語置換摂動に対して、形式的かつ証明可能な頑健性保証を提供することは可能か？
• RQ2 指数的かつ巨大なラベル保存語置換集合に対して、扱いやすい最適化を用いてモデルを訓練することが現実的か？
• RQ3 IBPによる証明可能頑健な訓練は、標準的訓練およびデータ拡張と比較して、敵対的精度においてどのように差を示すか？
• RQ4 IBPは、LSTM やアテンション機構のような離散的・微分不能なNLPレイヤーに効果的に拡張可能か？
• RQ5 この証明可能訓練アプローチを用いることで、IMDB や SNLI のような現実世界のNLPベンチマークでどの程度の頑健性が達成できるか？

主な発見

• 提案手法であるIBPに基づく証明可能頑健な訓練は、IMDBセンチメント分析データセットで75%の敵対的精度を達成した。これは標準的訓練の8%と比べて顕著に優れている。
• SNLI自然言語推論ベンチマークでは、75%の敵対的精度を達成した。これは標準的訓練（41%）やデータ拡張（71%）を著しく上回る。
• データ拡張はIMDBで35%、SNLIで71%の頑健性を向上させたが、依然としてIBP訓練による証明可能な頑健性には及ばない。
• この手法は、LSTM やアテンション機構を含む離散的NLPレイヤーへのIBPの拡張に成功し、これらのアーキテクチャにおける頑健性認証を可能にした。
• 定義された集合内におけるすべての語置換に対して、モデルは証明可能に頑健であり、最悪ケース損失のIBP上界から導かれる保証が存在する。
• このアプローチは、NLPにおける証明可能頑健性が、巨大で離散的な摂動空間に対しても達成可能であることを示しており、信頼性のあるNLPシステムへの重要な一歩を示している。