[论文解读] Neural Networks Should Be Wide Enough to Learn Disconnected Decision Regions

Quynh Nguyen, Mahesh Chandra Mukkamala+1 more|arXiv (Cornell University)|Feb 28, 2018

Adversarial Robustness in Machine Learning参考文献 26被引用 18

一句话总结

本文证明，具有如Leaky ReLU等激活函数的前馈神经网络，需隐藏层宽度超过输入维数（d+1），才能学习不连通的决策区域——这对建模复杂的真实世界数据分布至关重要。核心结论表明，金字塔形网络（宽度≤ d）本质上仅产生连通的决策区域，因而其表达能力受限，无法表示具有不连通区域的贝叶斯最优分类器。

ABSTRACT

In the recent literature the important role of depth in deep learning has been emphasized. In this paper we argue that sufficient width of a feedforward network is equally important by answering the simple question under which conditions the decision regions of a neural network are connected. It turns out that for a class of activation functions including leaky ReLU, neural networks having a pyramidal structure, that is no layer has more hidden units than the input dimension, produce necessarily connected decision regions. This implies that a sufficiently wide hidden layer is necessary to guarantee that the network can produce disconnected decision regions. We discuss the implications of this result for the construction of neural networks, in particular the relation to the problem of adversarial manipulation of classifiers.

研究动机与目标

• 研究具有连续激活函数的前馈神经网络中决策区域的拓扑性质。
• 确定网络实现不连通决策区域所需的最小宽度，该宽度与深度无关。
• 通过证明宽度在建模复杂决策边界方面与深度同等关键，挑战仅靠深度即可保证表达能力的假设。
• 通过理论与实证证据，建立网络宽度与对抗样本鲁棒性之间的联系，即通过实现不连通决策区域提升鲁棒性。
• 通过确立必要条件（即至少一个隐藏层的神经元数需超过输入维数），为网络架构设计提供指导。

提出的方法

• 使用拓扑论证对决策区域进行理论分析，重点关注Leaky ReLU和ReLU等激活函数。
• 证明：对于任意具有金字塔结构（所有隐藏层宽度 ≤ 输入维数 d）的前馈网络，其决策区域必然连通。
• 构造显式反例，证明宽度恰好为 d+1 的网络可产生不连通区域，从而证明该界是紧致的。
• 通过权重矩阵的秩条件，确保网络在宽度超过 d 的前提下可实现非连通决策区域。
• 通过在MNIST和合成数据上的对抗路径实验进行实证验证，其中连续路径连接同一类别的不连通区域。
• 应用一步目标类别法生成位于此类路径上的对抗样本，沿路径实现高置信度误分类，验证其脆弱性。

实验结果

研究问题

• RQ1 在何种条件下，前馈神经网络可产生不连通的决策区域？
• RQ2 是否存在一个与深度无关的最小宽度要求，以使神经网络能够表示不连通的决策区域？
• RQ3 隐藏层宽度如何影响具有Leaky ReLU或ReLU激活函数的网络中决策区域的拓扑结构？
• RQ4 由于决策区域被强制连通，宽度 ≤ d 的窄网络是否本质上更容易受到对抗样本攻击？
• RQ5 建模不连通决策区域的能力在多大程度上与对抗扰动的鲁棒性相关？

主要发现

• 具有金字塔结构（即无隐藏层宽度超过输入维数 d）的神经网络，其决策区域必然连通。
• 隐藏层宽度至少为 d+1 是网络表示不连通决策区域的必要且充分条件，已通过显式反例证明。
• 即使训练误差为零，宽度 ≤ d 的网络也无法表示具有不连通区域的贝叶斯最优分类器。
• 在MNIST和合成数据上的实验表明，存在连续路径连接同一类别的不连通区域，且所有中间点均被高置信度分类，表明网络对对抗攻击存在脆弱性。
• 即使训练误差为零且权重矩阵满秩，宽度为 d（等于输入维数）的网络仍产生连通决策区域，验证了理论边界的正确性。
• 该结果适用于Leaky ReLU，但无法直接推广至具有不同斜率的通用分段线性激活函数，表明结果对激活函数结构具有敏感性。