[论文解读] Robustness via Deep Low-Rank Representations

Amartya Sanyal, Varun Kanade+2 more|arXiv (Cornell University)|Apr 19, 2018

Adversarial Robustness in Machine Learning参考文献 28被引用 7

一句话总结

本文提出了一种可微的、端到端可训练的低秩正则化方法（LR），通过强制中间深度神经网络表征位于低维线性子空间中，显著提升了对随机扰动和对抗性扰动的鲁棒性，且无需对抗性训练。该方法通过在反向传播过程中使用基于SVD的优化施加秩约束，从而生成高度可压缩、鲁棒的特征，仅带来适度的准确率损失。

ABSTRACT

We investigate the effect of the dimensionality of the representations learned in Deep Neural Networks (DNNs) on their robustness to input perturbations, both adversarial and random. To achieve low dimensionality of learned representations, we propose an easy-to-use, end-to-end trainable, low-rank regularizer (LR) that can be applied to any intermediate layer representation of a DNN. This regularizer forces the feature representations to (mostly) lie in a low-dimensional linear subspace. We perform a wide range of experiments that demonstrate that the LR indeed induces low rank on the representations, while providing modest improvements to accuracy as an added benefit. Furthermore, the learned features make the trained model significantly more robust to input perturbations such as Gaussian and adversarial noise (even without adversarial training). Lastly, the low-dimensionality means that the learned features are highly compressible; thus discriminative features of the data can be stored using very little memory. Our experiments indicate that models trained using the LR learn robust classifiers by discovering subspaces that avoid non-robust features. Algorithmically, the LR is scalable, generic, and straightforward to implement into existing deep learning frameworks.

研究动机与目标

• 研究在深度神经网络中降低学习表征的维度如何影响对输入扰动的鲁棒性。
• 开发一种可扩展、通用且端到端可训练的正则化方法，强制中间层表征具有低秩结构，且无需修改网络架构。
• 在不依赖对抗性训练的前提下提升模型鲁棒性，同时保持或略微提升干净数据上的准确率。
• 通过利用表征的低秩结构，实现判别性特征的高比例压缩。

提出的方法

• 提出一种可微的低秩正则化方法（LR），通过截断SVD对中间层激活施加秩约束，强制其位于低维线性子空间中。
• 将正则化项作为可微的惩罚项集成到损失函数中，支持网络的端到端反向传播。
• 采用虚拟层机制，不影响推理过程，可应用于任意DNN架构中的任意中间层。
• 在小批量训练中引入秩正则化项，通过近似全批量SVD实现，确保方法的可扩展性和高效性。
• 通过将卷积层的特征图重塑为矩阵，并利用SVD进行低秩逼近，对卷积层应用该正则化方法。
• 该方法具有通用性，仅需少量代码修改即可集成到任意深度学习框架中。

实验结果

研究问题

• RQ1 在深度神经网络中，对中间表征强制实施低秩结构是否能提升对对抗性扰动和随机输入扰动的鲁棒性？
• RQ2 低秩正则化是否能在不降低干净准确率的前提下，提升学习特征的泛化能力和压缩能力？
• RQ3 低秩归纳偏置如何影响模型避免表示空间中非鲁棒、虚假特征的能力？
• RQ4 低秩正则化是否能在小批量训练设置中有效应用，且不损害可扩展性？
• RQ5 低秩表征在多大程度上增强了噪声抑制和泛化能力，其效果可通过层垫（layer cushion）指标衡量？

主要发现

• 低秩正则化成功在中间表征中诱导出低秩结构，经SVD分析和秩估计验证。
• 使用LR正则化的模型在未进行对抗性训练的情况下，对高斯随机噪声和对抗性攻击均表现出显著的鲁棒性提升。
• 在CIFAR-10数据集上，LR正则化模型的5维嵌入表征实现了94%的准确率（仅比全精度模型下降6%），证明了其高度可压缩性。
• LR正则化模型的层垫（layer cushion）指标显著提升，表明其具有更强的噪声抑制能力并提升了对扰动的鲁棒性。
• 在黑盒攻击场景下，基于LR正则化特征训练的最大间隔分类器对对抗性样本的鲁棒性优于基于标准特征或N-LR特征的分类器。
• 该方法通过促使表征与线性变换的高奇异值对齐，改善了泛化性能，并降低了对输入噪声的敏感性。