[论文解读] Stability Analysis and Generalization Bounds of Adversarial Training

Jiancong Xiao, Yanbo Fan+3 more|arXiv (Cornell University)|Oct 3, 2022

Adversarial Robustness in Machine Learning被引用 9

一句话总结

本文引入 $η$-近似光滑性以分析对抗训练的稳定性，推导出非光滑对抗损失下SGD的泛化界。结果表明，鲁棒测试准确率随 $ε$ 增大而下降，下降速率介于 $Ω(\epsilon\sqrt{T})$ 和 $\mathcal{O}(\epsilon T)$ 之间，解释了鲁棒过拟合现象，并在理论上验证了早停法和SWA等技术具有促进稳定性的效果。

ABSTRACT

In adversarial machine learning, deep neural networks can fit the adversarial examples on the training dataset but have poor generalization ability on the test set. This phenomenon is called robust overfitting, and it can be observed when adversarially training neural nets on common datasets, including SVHN, CIFAR-10, CIFAR-100, and ImageNet. In this paper, we study the robust overfitting issue of adversarial training by using tools from uniform stability. One major challenge is that the outer function (as a maximization of the inner function) is nonsmooth, so the standard technique (e.g., hardt et al., 2016) cannot be applied. Our approach is to consider $η$-approximate smoothness: we show that the outer function satisfies this modified smoothness assumption with $η$ being a constant related to the adversarial perturbation $ε$. Based on this, we derive stability-based generalization bounds for stochastic gradient descent (SGD) on the general class of $η$-approximate smooth functions, which covers the adversarial loss. Our results suggest that robust test accuracy decreases in $ε$ when $T$ is large, with a speed between $Ω(ε\sqrt{T})$ and $\mathcal{O}(εT)$. This phenomenon is also observed in practice. Additionally, we show that a few popular techniques for adversarial training (e.g., early stopping, cyclic learning rate, and stochastic weight averaging) are stability-promoting in theory.

研究动机与目标

• 为填补现有理论在解释对抗训练中鲁棒过拟合现象的空白，即尽管训练准确率持续上升，但测试准确率却下降。
• 为非光滑对抗损失函数构建稳定性分析框架，以应对标准一致稳定性工具无法处理该类问题的挑战。
• 推导SGD在 $η$-近似光滑函数上的泛化界，涵盖对抗训练场景。
• 从理论上验证常见正则化技术（如早停法、SWA、循环学习率）具有促进稳定性的效果。
• 表明鲁棒泛化差距随扰动大小 $ε$ 增大而增加，从而解释了实践中性能不佳的原因。

提出的方法

• 引入 $η$-近似光滑性作为标准光滑性的松弛形式，以处理对抗训练中外部函数的非光滑性。
• 证明对抗损失满足 $η$-近似光滑性，其中 $η$ 与 $ε$ 及内部函数的梯度Lipschitz常数呈线性关系。
• 推导SGD在 $η$-近似光滑函数上的基于稳定性的泛化界，扩展了Hardt等人（2016）和Bassily等人（2020）的先前结果。
• 将推导出的界应用于对抗训练，表明泛化差距与 $ε$ 和 $T$ 成比例。
• 通过分析正则化技术（早停法、SWA、循环学习率）的影响，表明它们可降低界中与稳定性相关的项。
• 在凸与强凸设置下，展示鲁棒过拟合现象及其对 $ε$ 和 $T$ 的依赖关系。

实验结果

研究问题

• RQ1 为何在对抗训练中，尽管训练性能良好，鲁棒过拟合现象仍会发生？
• RQ2 鉴于对抗损失的非光滑性，标准一致稳定性工具能否解释对抗训练中的泛化差距？
• RQ3 扰动大小 $ε$ 如何影响对抗训练的泛化性能？
• RQ4 常见正则化技术（如早停法和SWA）是否能提升对抗训练中的稳定性并改善泛化性能？
• RQ5 能否通过修改光滑性假设（如 $η$-近似光滑性）实现对非光滑对抗目标的泛化界？

主要发现

• 对抗损失满足 $η$-近似光滑性，其中 $η = \mathcal{O}(\epsilon \cdot L_z)$，$L_z$ 为内部函数的梯度Lipschitz常数。
• 推导出SGD在 $η$-近似光滑函数上的泛化界，表明其对 $ε$ 和 $T$ 存在依赖关系。
• 鲁棒测试准确率随 $ε$ 增大而下降，下降速率介于 $Ω(\epsilon\sqrt{T})$ 和 $\mathcal{O}(\epsilon T)$ 之间，从而解释了鲁棒过拟合现象。
• 理论上表明，早停法、循环学习率和随机权重平均等技术具有促进稳定性的效果，可减小泛化差距。
• 在强凸情况下，泛化差距被限制在 $\mathcal{O}(\eta + 1/n + 1/T)$ 范围内，表明在强凸条件下鲁棒过拟合现象会消失，但性能仍比标准训练差 $\mathcal{O}(\eta)$。
• 理论分析与经验观察一致：鲁棒过拟合在 $ε$ 较大或训练时间 $T$ 较长时更为严重。