[论文解读] Convergence of Adversarial Training in Overparametrized Neural Networks

Ruiqi Gao, Tianle Cai+4 more|arXiv (Cornell University)|Jun 19, 2019

Adversarial Robustness in Machine Learning参考文献 59被引用 55

一句话总结

本文证明对抗性训练在参数过度化的网络上收敛到具有近似最优鲁棒损失的网络，并且鲁棒插值需要更大的容量。

ABSTRACT

Neural networks are vulnerable to adversarial examples, i.e. inputs that are imperceptibly perturbed from natural data and yet incorrectly classified by the network. Adversarial training, a heuristic form of robust optimization that alternates between minimization and maximization steps, has proven to be among the most successful methods to train networks to be robust against a pre-defined family of perturbations. This paper provides a partial answer to the success of adversarial training, by showing that it converges to a network where the surrogate loss with respect to the the attack algorithm is within $ε$ of the optimal robust loss. Then we show that the optimal robust loss is also close to zero, hence adversarial training finds a robust classifier. The analysis technique leverages recent work on the analysis of neural networks via Neural Tangent Kernel (NTK), combined with motivation from online-learning when the maximization is solved by a heuristic, and the expressiveness of the NTK kernel in the $\ell_\infty$-norm. In addition, we also prove that robust interpolation requires more model capacity, supporting the evidence that adversarial training requires wider networks.

研究动机与目标

• 激发/说明为什么在实践中对抗性训练会带来鲁棒分类器。
• 在宽网络条件下证明对代理鲁棒损失的收敛性保证。
• 通过 RKHS/NTK 视角将网络表示能力与鲁棒损失联系起来。
• 证明鲁棒插值对容量（VC-Dimension）的要求。

提出的方法

• 分析代理损失 L_A(W)，其中 A 是表示攻击的扰动函数。
• 证明投影梯度下降在初始化点周围的凸球 B(R) 内收敛到接近最小鲁棒损失。
• 利用 Neural Tangent Kernel (NTK) 与 RKHS 的论证，将鲁棒分类器的存在性与宽网络联系起来。
• 给出带有平滑激活的两层网络分析，显示在无投影的情况下收敛。
• 通过 VC-Dimension 的论证，建立鲁棒插值的容量下界。

实验结果

研究问题

• RQ1 对抗性训练是否能够收敛到在初始化邻域内鲁棒损失接近最优鲁棒损失的网络？
• RQ2 在一般攻击扰动下，宽网络宽度是否确保代理对抗损失的收敛？
• RQ3 鲁棒插值是否本质上比标准插值需要更高的容量？
• RQ4 NTK/RKHS 框架如何解释在初始化附近鲁棒分类器的存在性与近似？

主要发现

• 在足够宽度的条件下，对代理损失的投影梯度下降在初始化的球内收敛到最优鲁棒损失的 epsilon 内。
• 带有平滑激活的两层网络在对抗性训练下无需投影即可收敛到接近最优的鲁棒损失。
• 在足够大宽度下，初始化球内存在一个网络达到接近最小鲁棒损失（epsilon）。
• 在给定的假设与攻击模型下，对抗性训练可以找到具有较小鲁棒训练损失的网络。
• 鲁棒插值的 VC-Dimension 下界为 Omega(n d)，这表明相比标准插值，鲁棒性需要更高的容量。