[论文解读] Improving Neural Network Verification through Spurious Region Guided Refinement

Pengfei Yang, Renjue Li+6 more|arXiv (Cornell University)|Oct 15, 2020

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本文提出了一种基于虚假区域引导的精炼方法，以提升基于抽象解释的深度神经网络验证技术DeepPoly的精度。通过识别不包含真实反例的过度近似区域，并利用线性规划收紧ReLU神经元的边界，该方法迭代地消除虚假区域，显著提高了验证精度，并实现了具有严格保证的定量鲁棒性验证。

ABSTRACT

We propose a spurious region guided refinement approach for robustness verification of deep neural networks. Our method starts with applying the DeepPoly abstract domain to analyze the network. If the robustness property cannot be verified, the result is inconclusive. Due to the over-approximation, the computed region in the abstraction may be spurious in the sense that it does not contain any true counterexample. Our goal is to identify such spurious regions and use them to guide the abstraction refinement. The core idea is to make use of the obtained constraints of the abstraction to infer new bounds for the neurons. This is achieved by linear programming techniques. With the new bounds, we iteratively apply DeepPoly, aiming to eliminate spurious regions. We have implemented our approach in a prototypical tool DeepSRGR. Experimental results show that a large amount of regions can be identified as spurious, and as a result, the precision of DeepPoly can be significantly improved. As a side contribution, we show that our approach can be applied to verify quantitative robustness properties.

研究动机与目标

• 为解决基于抽象解释的DNN验证中精度不足的问题，特别是当DeepPoly因过度近似而无法验证鲁棒性时。
• 识别并消除虚假区域——即不包含实际反例的抽象过度近似区域，从而提高验证精度。
• 开发一种基于虚假区域约束而非难以构造的显式反例的精炼策略，该策略在此类场景中更具可行性。
• 将该方法扩展至具有可靠置信度保证的定量鲁棒性验证，超越基于采样的方法。

提出的方法

• 应用DeepPoly计算输入扰动下网络输出的初始过度近似。
• 通过将DeepPoly抽象与鲁棒性属性的否定进行交集，识别虚假区域。
• 对虚假区域的约束使用线性规划，收紧具有不确定激活状态的ReLU神经元的边界。
• 通过重新应用DeepPoly并结合收紧后的边界，迭代地精炼抽象，目标是消除虚假区域。
• 持续进行精炼，直到所有虚假区域被排除或达到最大迭代次数限制。
• 通过过度近似在给定误差容限内违反鲁棒性属性的输入集合，将该框架扩展至定量鲁棒性验证。

实验结果

研究问题

• RQ1 能否有效识别DeepPoly抽象中的虚假区域，并利用其引导精炼以提升验证精度？
• RQ2 对虚假区域约束使用线性规划在收紧ReLU神经元边界和减少过度近似方面有多高效？
• RQ3 迭代精炼过程能否消除虚假区域并实现局部鲁棒性属性的可靠验证？
• RQ4 该方法在多大程度上可扩展至具有可靠置信度保证的定量鲁棒性验证？
• RQ5 与DeepPoly相比，该精炼方法在验证覆盖率和运行时间方面的表现如何？

主要发现

• 在FNN7上，DeepSRGR验证了50个输入中的36个，而DeepPoly仅验证了25个，验证覆盖率显著提升。
• DeepSRGR在FNN7上的平均运行时间为8,960秒，高于DeepPoly，这是由于精炼过程中线性规划的计算开销所致。
• 将最大迭代次数从5增加到50，仅额外验证了15项属性中的2项，表明该方法能高效地在早期识别出相关虚假区域。
• 在50次迭代内未被排除的13个虚假区域中，平均重新激活的ReLU行为数仅为8.54，表明其精炼潜力有限。
• 在定量鲁棒性验证中，DeepSRGR对1−η置信度的过度近似在超过75%的案例中不足DeepPoly的十分之一，显示出更高的精度。
• 该方法在32次迭代内成功验证了13个新的虚假区域，其中47.4%的ReLU行为变化发生在最后一次迭代，表明在收敛附近具有高度的精炼敏感性。