[论文解读] On the Certified Robustness for Ensemble Models and Beyond

Zhuolin Yang, Linyi Li+4 more|arXiv (Cornell University)|Jul 22, 2021

Adversarial Robustness in Machine Learning参考文献 60被引用 7

一句话总结

本文提出了一种轻量级正则化方法——多样性正则化训练（DRT），通过促进梯度多样化和增大置信度边界，提升集成模型的认证鲁棒性。DRT在MNIST、CIFAR-10和ImageNet上实现了SOTA的$L_2$鲁棒性，在相同训练成本下，相比先前的集成模型，认证准确率最高提升了6.1%。

ABSTRACT

Recent studies show that deep neural networks (DNN) are vulnerable to adversarial examples, which aim to mislead DNNs by adding perturbations with small magnitude. To defend against such attacks, both empirical and theoretical defense approaches have been extensively studied for a single ML model. In this work, we aim to analyze and provide the certified robustness for ensemble ML models, together with the sufficient and necessary conditions of robustness for different ensemble protocols. Although ensemble models are shown more robust than a single model empirically; surprisingly, we find that in terms of the certified robustness the standard ensemble models only achieve marginal improvement compared to a single model. Thus, to explore the conditions that guarantee to provide certifiably robust ensemble ML models, we first prove that diversified gradient and large confidence margin are sufficient and necessary conditions for certifiably robust ensemble models under the model-smoothness assumption. We then provide the bounded model-smoothness analysis based on the proposed Ensemble-before-Smoothing strategy. We also prove that an ensemble model can always achieve higher certified robustness than a single base model under mild conditions. Inspired by the theoretical findings, we propose the lightweight Diversity Regularized Training (DRT) to train certifiably robust ensemble ML models. Extensive experiments show that our DRT enhanced ensembles can consistently achieve higher certified robustness than existing single and ensemble ML models, demonstrating the state-of-the-art certified L2-robustness on MNIST, CIFAR-10, and ImageNet datasets.

研究动机与目标

• 探究在对抗性$L_2$扰动下，集成模型是否能实现比单模型更高的认证鲁棒性。
• 在模型平滑性假设下，识别实现认证鲁棒集成模型的充分必要条件。
• 开发一种实用的训练方法，系统性地提升集成模型的认证鲁棒性，且计算成本可忽略不计。
• 验证在适度条件下，通过优化多样性与边界，集成模型能否在认证鲁棒性上超越单模型。

提出的方法

• 提出先集成后平滑策略，以确保模型平滑性有界，从而支持对集成模型认证鲁棒性的理论分析。
• 引入DRT，一种两部分正则化损失，用于促进基模型之间的梯度多样性，并增大预测类别间的置信度边界。
• DRT可无缝集成至现有的平滑技术（如高斯增强和对抗训练）中，训练开销几乎可忽略。
• 采用加权平均与平均集成协议，消融实验表明，最优权重相比均匀平均仅带来微小增益。
• 理论分析证明，在模型平滑性假设下，梯度多样化与大置信度边界是实现认证鲁棒集成模型的充分必要条件。
• 以随机平滑作为基础防御机制，认证鲁棒性基于集成成员间平滑预测的中位数推导得出。

实验结果

研究问题

• RQ1 在$L_2$扰动下，集成模型能否显著提升认证鲁棒性，超越单模型？
• RQ2 在模型平滑性假设下，实现认证鲁棒集成模型的充分必要条件是什么？
• RQ3 集成聚合策略的选择（如平均与加权）如何影响认证鲁棒性？
• RQ4 像DRT这样的轻量级正则化方法，能否在多种数据集和基模型上持续提升认证鲁棒性？
• RQ5 梯度多样性与置信度边界在多大程度上贡献于集成模型的认证鲁棒性？

主要发现

• 使用平均或加权聚合的标准集成模型仅将认证鲁棒性小幅提升至单模型水平——例如，在CIFAR-10上，$L_2$半径1.5时，认证准确率从21.9%提升至24.2%。
• DRT训练的集成模型在CIFAR-10上实现30.3%的认证准确率（$L_2$半径1.5），显著优于先前SOTA的24.2%。
• 在$L_2$半径2.0时，DRT将认证准确率提升至20.3%，超过CIFAR-10上先前SOTA的16.0%。
• 在MNIST上，DRT在半径1.5时实现76.7%的认证准确率，优于相同设置下的ADP（73.4%）与GAL（73.2%）。
• 理论分析证实，在模型平滑性假设下，梯度多样化与大置信度边界是实现认证鲁棒集成模型的充分必要条件。
• DRT具有高度灵活性，可与预训练的鲁棒单模型结合，在ImageNet上实现了迄今最高的认证鲁棒性。