[论文解读] On Adversarial Risk and Training.

Arun Sai Suggala, Adarsh Prasad+2 more|arXiv (Cornell University)|Jun 7, 2018

Adversarial Robustness in Machine Learning被引用 3

一句话总结

本文在严格的理论框架内正式定义了对抗性扰动、对抗性风险和对抗性训练，建立了其理论基础。结果表明，与传统训练相比，对抗性训练可提升分类准确率和模型可解释性，尽管计算成本更高，但仍应推荐使用。

ABSTRACT

In this work we formally define the notions of adversarial perturbations, adversarial risk and adversarial training and analyze their properties. Our analysis provides several interesting insights into adversarial risk, adversarial training, and their relation to the classification risk, training. We also show that adversarial training can result in models with better classification accuracy and can result in better explainable models than traditional training. Although adversarial training is computationally expensive, our results and insights suggest that one should prefer adversarial training over traditional risk minimization for learning complex models from data.

研究动机与目标

• 在严谨的理论框架内，正式定义对抗性扰动、对抗性风险和对抗性训练。
• 分析对抗性风险与标准分类风险在模型训练中的关系。
• 研究对抗性训练是否能带来比传统风险最小化更好的泛化能力和可解释性。
• 评估对抗性训练中计算成本与性能提升之间的权衡。

提出的方法

• 本文引入一个形式化的数学框架，将对抗性扰动定义为导致误分类的小幅、有针对性的输入变化。
• 将对抗性风险定义为在对抗性样本上的期望损失，扩展了标准的经验风险最小化。
• 将对抗性训练形式化为在有界集合内对最坏情况扰动进行优化，通常采用最小-最大公式。
• 通过求解一个鲁棒优化问题，将对抗性样本整合到训练过程中。
• 理论分析比较了对抗性风险与标准分类风险，揭示了其在泛化行为上的结构性差异。

实验结果

研究问题

• RQ1 如何以一种支持理论分析的方式正式定义对抗性扰动？
• RQ2 对抗性风险与标准分类风险在模型学习过程中存在何种关系？
• RQ3 对抗性训练是否能带来比标准训练更高的分类准确率？
• RQ4 对抗性训练能否产生比标准训练更可解释或更可解释的模型？

主要发现

• 在相同条件下，对抗性训练产生的模型相比标准训练具有更高的分类准确率。
• 形式化分析表明，对抗性风险是比标准风险更独立且更鲁棒的模型性能度量。
• 对抗性训练产生的模型比传统训练方法生成的模型更具可解释性。
• 尽管计算成本更高，对抗性训练仍被证明在从数据中学习复杂模型方面更具优势。