[論文レビュー] Improving Adversarial Robustness Through Progressive Hardening

Chawin Sitawarin, Supriyo Chakraborty+1 more|arXiv (Cornell University)|Mar 18, 2020

Adversarial Robustness in Machine Learning参考文献 28被引用数 29

ひとこと要約

本稿では、カリキュラム学習にインspiredされた方法として、予め定義された難易度レベルに達した段階で早期停止を行うことで、敵対的例の生成を動的に制御することにより、クリーンな正確性を維持したまま敵対的ロバストネスを向上させる、早期停止を用いた敵対的訓練（ATES）を提案する。ATESは、標準的な敵対的訓練およびTRADESと比較して、クリーンな正確性とロバストネスの間で優れたトレードオフを達成する。

ABSTRACT

Adversarial training (AT) has become a popular choice for training robust networks. However, it tends to sacrifice clean accuracy heavily in favor of robustness, and with a large perturbation, it can cause models to learn a trivial solution, always predicting the same class. To address the above concerns, we propose Adversarial Training with Early Stopping (ATES), guided by principles from curriculum learning that emphasizes on starting easy and gradually ramping up on the of training. ATES is derived from our formulation for curriculum learning in the adversarial setting which introduces an additional curriculum constraint to the normal adversarial loss. To satisfy this constraint, we apply early stopping on the adversarial example generation step when a specified level of difficulty is reached. ATES stabilizes network training even for a large perturbation norm and allows the network to operate at a better clean accuracy versus robustness trade-off curve compared to AT. This leads to a significant improvement in both clean accuracy and robustness compared to AT, TRADES, and the other baselines.

研究の動機と目的

• 大きな摂動ノルム下でよく観察されるクリーンな正確性の低下を是正すること。
• 大きな摂動で学習する際に、常に同じクラスを予測するような自明な解へ収束することを防ぐこと。
• 難易度を段階的に増加させるカリキュラム学習戦略を導入することで、大きな摂動ノルム下での訓練を安定化させること。
• 標準的な敵対的訓練およびTRADESと比較して、クリーンな正確性とロバストネスの間でより優れたトレードオフを達成すること。

提案手法

• ATESは、敵対的訓練の目的関数にカリキュラム制約を導入し、訓練中に敵対的例の難易度を制御する。
• 指定された難易度レベルに達した段階ですべての敵対的例生成プロセスを早期停止する。
• この早期停止メカニズムにより、訓練を不安定化させたりクリーンな正確性を低下させたりするあまりに難しい敵対的例への過剰最適化を防ぐ。
• カリキュラム制約により、訓練はより簡単な敵対的例から開始され、段階的に難易度が上昇するようになり、カリキュラム学習を模倣する。
• 最適化プロセス中に過剰な摂動を避けることで、ロバストネスとクリーンな正確性のバランスを保つ。
• ATESは、敵対的例生成ステップを制限するカリキュラム制約を持つ制約付き最適化問題として定式化される。

実験結果

リサーチクエスチョン

• RQ1 敵対的例生成の過程で早期停止を適用することで、敵対的訓練におけるロバストネスとクリーンな正確性のトレードオフが改善されるか？
• RQ2 大きな摂動下で敵対的訓練にカリキュラム学習のアプローチを適用すると、モデルが自明な解へ収束するのを防げるか？
• RQ3 さまざまな摂動ノルム下で、ATESは標準的な敵対的訓練およびTRADESと比較して、クリーンな正確性とロバストネスの点でどのように異なるか？
• RQ4 難易度制御された例生成による敵対的訓練の安定化は、異なるデータセットおよびアーキテクチャにおいて一貫した性能向上をもたらすか？

主な発見

• ATESは、標準的な敵対的訓練（AT）およびTRADESと比較して、クリーンな正確性とロバストネスのトレードオフが優れている。
• この方法により、大きな摂動ノルム下でも訓練が安定化し、モデルが自明な予測を学習するのを防げる。
• ATおよびTRADESと比較して、評価されたベンチマーク全体で、クリーンな正確性とロバストネスの両方が顕著に向上する。
• 定められた難易度レベルでの早期停止により、難易度の高い敵対的例への過適合が防がれ、クリーンデータに対する一般化性能が維持される。