[论文解读] A Unified Wasserstein Distributional Robustness Framework for Adversarial Training

Tuan Anh Bui, Trung Le+3 more|arXiv (Cornell University)|Feb 27, 2022

Adversarial Robustness in Machine Learning被引用 6

一句话总结

本文提出了一种统一的Wasserstein分布鲁棒性框架，通过将对抗鲁棒性建模为分布扰动而非点态扰动，从而推广了最先进的对抗训练（AT）方法。通过引入一种新颖的Wasserstein代价函数和风险公式，该框架将PGD-AT、TRADES、MART和AWP作为特例涵盖其中，通过在未见数据上的更好泛化能力实现了更优的鲁棒性，实证结果表明在CIFAR-10和MNIST上，该方法相对于标准AT实现了持续的性能提升。

ABSTRACT

It is well-known that deep neural networks (DNNs) are susceptible to adversarial attacks, exposing a severe fragility of deep learning systems. As the result, adversarial training (AT) method, by incorporating adversarial examples during training, represents a natural and effective approach to strengthen the robustness of a DNN-based classifier. However, most AT-based methods, notably PGD-AT and TRADES, typically seek a pointwise adversary that generates the worst-case adversarial example by independently perturbing each data sample, as a way to "probe" the vulnerability of the classifier. Arguably, there are unexplored benefits in considering such adversarial effects from an entire distribution. To this end, this paper presents a unified framework that connects Wasserstein distributional robustness with current state-of-the-art AT methods. We introduce a new Wasserstein cost function and a new series of risk functions, with which we show that standard AT methods are special cases of their counterparts in our framework. This connection leads to an intuitive relaxation and generalization of existing AT methods and facilitates the development of a new family of distributional robustness AT-based algorithms. Extensive experiments show that our distributional robustness AT algorithms robustify further their standard AT counterparts in various settings.

研究动机与目标

• 通过超越基于点态扰动的对抗训练，提升深度神经网络对对抗攻击的鲁棒性，以应对其脆弱性。
• 通过在基于Wasserstein的框架下统一标准对抗训练与分布鲁棒性，弥合两者之间的差距。
• 开发一种可泛化的、具备分布感知能力的鲁棒训练框架，以增强在未见数据上的泛化能力和鲁棒性。
• 通过实证验证，证明基于Wasserstein度量的分布鲁棒性优于标准AT在对抗鲁棒性方面的表现。

提出的方法

• 提出一种新的Wasserstein代价函数，用于度量数据分布与扰动后分布之间的分布距离，从而实现在整个数据分布上的鲁棒优化。
• 引入一种统一的风险公式，通过将标准AT方法作为特例嵌入分布鲁棒性框架中，从而推广标准AT方法。
• 采用平滑的代价函数并结合自适应梯度更新，使用独立的学习率分别处理损失梯度和正则化梯度，以平衡对抗样本生成过程中的“推”与“拉”动态。
• 在不使用投影的情况下执行多步梯度上升，通过根据扰动是否超出$ε$-球动态调整步长，从而提升稳定性和收敛性。
• 采用数据集特定的代价函数：基于像素对模型预测的贡献模式，MNIST使用$L_{\infty}$，CIFAR-10使用$L_2$。
• 采用两步更新策略，以平衡模型损失和代价函数的梯度，防止正则化项占主导地位。

实验结果

研究问题

• RQ1 能否在形式上将基于Wasserstein度量的分布鲁棒性与标准对抗训练方法统一？
• RQ2 与点态扰动相比，通过在分布层面建模对抗鲁棒性，如何提升泛化能力？
• RQ3 所提出的框架能否泛化并涵盖现有SOTA AT方法（如PGD-AT、TRADES、MART和AWP）作为特例？
• RQ4 不同代价函数（如$L_1$、$L_2$、$L_\infty$）对对抗样本生成和鲁棒性有何影响？
• RQ5 所提出的分布鲁棒性框架是否在基准数据集上实现了优于标准AT的鲁棒性？

主要发现

• 所提出的框架在统一的Wasserstein分布鲁棒性公式下，将PGD-AT、TRADES、MART和AWP作为特例涵盖其中。
• 分布鲁棒性方法在包括CIFAR-10和MNIST在内的多个数据集上，始终表现出比标准AT更高的对抗鲁棒性。
• 在代价函数中使用$ L_{\infty} $（MNIST）和$ L_2 $（CIFAR-10）可提升梯度稳定性与对抗样本质量，与数据的特定稀疏性模式相一致。
• 两步梯度更新策略能有效平衡损失梯度与正则化梯度，防止代价函数占主导，从而提升鲁棒性。
• 实证结果表明，所提出的分布鲁棒性算法在基准数据集上的自然准确率和鲁棒准确率均优于其标准AT基线方法。
• 直方图分析证实，代价函数的梯度显著强于模型梯度，这为对抗训练中分步平衡的必要性提供了依据。