[論文レビュー] Fairness Increases Adversarial Vulnerability

Cuong Tran, Kèyù Zhü+2 more|arXiv (Cornell University)|Nov 21, 2022

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

この論文は、深層学習モデルにおける公平性の強制が、逆例攻撃に対する脆弱性を意図せず増大させることを示しており、意思決定境界までの距離が公平性と耐性の間の関連を特徴付ける鍵要因であると特定している。本研究では、複数のビジョンタスクおよびアーキテクチャ（VGG-13、ResNet-50を含む）において、公平性、正確性、耐性のトレードオフを改善するための境界付きラムプ損失関数を提案している。

ABSTRACT

The remarkable performance of deep learning models and their applications in consequential domains (e.g., facial recognition) introduces important challenges at the intersection of equity and security. Fairness and robustness are two desired notions often required in learning models. Fairness ensures that models do not disproportionately harm (or benefit) some groups over others, while robustness measures the models' resilience against small input perturbations. This paper shows the existence of a dichotomy between fairness and robustness, and analyzes when achieving fairness decreases the model robustness to adversarial samples. The reported analysis sheds light on the factors causing such contrasting behavior, suggesting that distance to the decision boundary across groups as a key explainer for this behavior. Extensive experiments on non-linear models and different architectures validate the theoretical findings in multiple vision domains. Finally, the paper proposes a simple, yet effective, solution to construct models achieving good tradeoffs between fairness and robustness.

研究の動機と目的

• 高リスクな応用分野における深層学習モデルの公平性と耐性のトレードオフを調査すること。
• 公平性制約が逆例に対してモデルの耐性を低下させる理由を理解すること。
• 特に、公平性と耐性の二項対立を駆動する根本的メカニズム（具体的には意思決定境界までの距離）を同定すること。
• モデル学習における公平性、正確性、耐性のバランスを改善する実用的解決策を提案すること。
• 複数のアーキテクチャ（VGG-13、ResNet-50）およびデータセット（CIFAR-10、UTKFace、FMNIST）において、複数の逆例攻撃タイプの下で、研究結果の妥当性を検証すること。

提案手法

• 著者らは、標準的な交差エントロピー損失を変更することで意思決定境界付近でのモデル挙動をよりよく制御できる、境界付きラムプ損失関数を導入している。
• 理論的および実験的分析を用いて、公平性、耐性、および意思決定境界までの距離との関係を分析している。
• 複数のビジョンタスクにおいて、ℓ∞およびℓ2ノルムの下で、標準的な逆例攻撃（RFGSMおよびPGD）を用いて実験を行っている。
• 公平性正則化パラメータ（λ）を変化させながら、標準的な交差エントロピー損失と比較して、提案された境界付きラムプ損失で学習したモデルを評価している。
• 耐性は逆例摂動下での境界誤差によって評価され、公平性は保護群間の誤差率分布の違反によって測定されている。
• 本手法は、複数のアーキテクチャ（VGG-13、ResNet-50）およびデータセット（CIFAR-10、UTKFace、FMNIST）で検証され、トレードオフ性能の一貫した向上が示されている。

実験結果

リサーチクエスチョン

• RQ1 深層学習モデルにおける公平性の強制は、逆例攻撃に対する脆弱性を増大させるか？
• RQ2 公平性と耐性の間の観察されたトレードオフを説明する、構造的または幾何的性質は何か？
• RQ3 意思決定境界までの距離は、公平モデルにおける逆例脆弱性の信頼できる予測要因として利用できるか？
• RQ4 公平性、耐性、正確性を同時に改善する訓練目的関数は存在するか？
• RQ5 異なる損失関数（例：交差エントロピー対比して境界付きラムプ損失）は、アーキテクチャおよびデータセットを越えて、公平性・耐性・正確性のトレードオフにどのように影響を与えるか？

主な発見

• 公平なモデルは、非公平なモデルと比較して、特にℓ∞およびℓ2の逆例攻撃において顕著に高い逆例脆弱性を示している。
• 意思決定境界までの距離が主要な説明要因として特定された：公平なモデルは意思決定境界までのマージンが小さくなる傾向があり、逆例摂動に対してより感受性を示す。
• 境界付きラムプ損失で学習したモデルは、標準的な交差エントロピー損失および他の公平性正則化ベースラインと比較して、公平性・正確性・耐性のトレードオフをより良く達成している。
• 提案手法は、すべてのテスト済みデータセット（CIFAR-10、UTKFace、FMNIST）およびアーキテクチャ（VGG-13、ResNet-50）において、逆例境界誤差を低減しており、特にPGDおよびRFGSM攻撃下で顕著な改善が見られた。
• 公平性正則化レベル（λ）の変化に関わらず、公平性と耐性のトレードオフは一貫しており、境界付きラムプ損失は高い公平性制約下でも耐性を維持している。
• 実験結果から、標準的な交差エントロピー損失で学習した公平モデルは、非公平モデルと比較して逆例攻撃下で高い境界誤差を示しており、公平性と耐性の二項対立が実際に存在することを確認した。