[论文解读] Towards Robust Deep Neural Networks

Timothy E. Wang, Jack Gu+3 more|arXiv (Cornell University)|Oct 27, 2018

Adversarial Robustness in Machine Learning参考文献 32被引用 10

一句话总结

该论文提出了一种新颖的损失函数，通过最小化对 $l_∞$-有界输入扰动的敏感性，增强了深度神经网络的鲁棒性，采用基于过估计输出可达集的体积敏感性度量。实验表明，该方法在无需显式对抗训练的情况下，实现了最先进的鲁棒性，同时提升了泛化能力并降低了敏感性。

ABSTRACT

We investigate the topics of sensitivity and robustness in feedforward and convolutional neural networks. Combining energy landscape techniques developed in computational chemistry with tools drawn from formal methods, we produce empirical evidence indicating that networks corresponding to lower-lying minima in the optimization landscape of the learning objective tend to be more robust. The robustness estimate used is the inverse of a proposed sensitivity measure, which we define as the volume of an over-approximation of the reachable set of network outputs under all additive $l_{\infty}$-bounded perturbations on the input data. We present a novel loss function which includes a sensitivity term in addition to the traditional task-oriented and regularization terms. In our experiments on standard machine learning and computer vision datasets, we show that the proposed loss function leads to networks which reliably optimize the robustness measure as well as other related metrics of adversarial robustness without significant degradation in the classification error. Experimental results indicate that the proposed method outperforms state-of-the-art sensitivity-based learning approaches with regards to robustness to adversarial attacks. We also show that although the introduced framework does not explicitly enforce an adversarial loss, it achieves competitive overall performance relative to methods that do.

研究动机与目标

• 研究优化景观极小值能量与神经网络鲁棒性之间的关系。
• 基于 $l_\infty$-有界输入扰动下过估计的输出可达集体积，开发一种敏感性度量。
• 设计一种通过惩罚高敏感性来优化鲁棒性的学习框架，且不依赖显式对抗损失。
• 评估训练模型中分类准确率、敏感性和对抗鲁棒性之间的权衡。

提出的方法

• 引入一种敏感性度量，即在 $l_\infty$-有界输入扰动下，对训练样本的过估计输出可达集体积的总和。
• 使用Reluplex和线性规划松弛法估计每个输入样本的可达输出集。
• 提出一种新颖的损失函数，结合标准交叉熵和正则化项，以及敏感性惩罚项。
• 利用能量景观分析，将较低的极小值与降低的网络敏感性及提升的鲁棒性相关联。
• 采用来自计算化学和形式化方法的形式化验证技术，估计敏感性边界。
• 使用所提出的损失函数训练网络，并在MNIST和CIFAR-10数据集上评估鲁棒性。

实验结果

研究问题

• RQ1 优化景观中极小值的能量与对应神经网络的敏感性之间是否存在相关性？
• RQ2 在有界输入扰动下减小输出可达集的体积是否能提升对抗鲁棒性？
• RQ3 基于敏感性的训练与对抗训练在鲁棒性和泛化能力方面相比如何？
• RQ4 即使未显式最小化对抗误差，最小化敏感性是否仍能提升对抗鲁棒性？
• RQ5 在所提出的框架中，敏感性、分类准确率和对抗鲁棒性之间的权衡如何？

主要发现

• 在MNIST测试数据上，该方法的敏感性度量为 $8.65 \times 10^3$，显著低于基线（$1.27 \times 10^{12}$）和K&W方法（$2.12 \times 10^5$）。
• 在MNIST测试数据上，该方法的交叉熵损失为 $\mathbf{0.125}$，在分类性能上优于K&W方法（$0.262$）和基线（$0.082$）。
• 尽管未直接最小化对抗误差，该方法将对抗误差降低至 $24.5\%$，优于基线（$91.23\%$），并接近K&W方法（$14.54\%$）。
• 该方法显示出较低敏感性与提升的对抗鲁棒性之间存在强相关性，敏感性降低导致对抗损失降低。
• 能量景观分析表明，较低的极小值对应于更不敏感的网络，支持了优化景观特性影响鲁棒性的假设。
• 该方法在敏感性、对抗鲁棒性和分类准确率之间实现了有利的权衡，在泛化能力方面优于K&W方法，同时保持了具有竞争力的鲁棒性。