[论文解读] Understanding the Interaction of Adversarial Training with Noisy Labels

Jianing Zhu, Jingfeng Zhang+6 more|arXiv (Cornell University)|Feb 6, 2021

Adversarial Robustness in Machine Learning参考文献 43被引用 15

一句话总结

本文揭示了对抗训练（AT）通过利用生成对抗样本所需的PGD步数作为数据鲁棒性的代理指标，天然地缓解了标签噪声的影响。该文提出使用这一几何感知度量——PGD步数——作为识别错误标注和稀有数据的新标准，从而构建一种鲁棒的标签标注器，在对抗性标签污染下表现优于标准方法。

ABSTRACT

Noisy labels (NL) and adversarial examples both undermine trained models, but interestingly they have hitherto been studied independently. A recent adversarial training (AT) study showed that the number of projected gradient descent (PGD) steps to successfully attack a point (i.e., find an adversarial example in its proximity) is an effective measure of the robustness of this point. Given that natural data are clean, this measure reveals an intrinsic geometric property -- how far a point is from its class boundary. Based on this breakthrough, in this paper, we figure out how AT would interact with NL. Firstly, we find if a point is too close to its noisy-class boundary (e.g., one step is enough to attack it), this point is likely to be mislabeled, which suggests to adopt the number of PGD steps as a new criterion for sample selection for correcting NL. Secondly, we confirm AT with strong smoothing effects suffers less from NL (without NL corrections) than standard training (ST), which suggests AT itself is an NL correction. Hence, AT with NL is helpful for improving even the natural accuracy, which again illustrates the superiority of AT as a general-purpose robust learning criterion.

研究动机与目标

• 探究对抗训练（AT）与噪声标签（NL）之间的相互作用，二者此前均被孤立研究。
• 理解为何在存在标签噪声时，AT相较于标准训练（ST）能更有效地减少对错误标注数据的记忆化。
• 提出一种基于鲁棒性的新度量方法——生成对抗样本所需的PGD步数，用于识别错误标注和稀有数据。
• 开发一种鲁棒的标签标注器，利用PGD步数对遭受对抗性污染的未标注数据分配可靠标签。
• 基于对抗训练中导出的几何鲁棒性度量，为标签可靠性提供置信度评分。

提出的方法

• 提出将生成被错误分类的对抗样本所需的投影梯度下降（PGD）步数作为数据鲁棒性的几何度量（记为κ）。
• 引入一种鲁棒标注算法，当κ < K且损失值 > L时，根据模型预测置信度和对抗鲁棒性对未标注数据重新分配标签。
• 采用基于PGD的对抗数据生成进行对抗训练，以平滑局部决策边界，减少对噪声样本的记忆化。
• 将PGD步数（κ）用作置信度评分：κ值越高，标签预测的可靠性越高。
• 在对抗性标签操纵下对未标注数据应用鲁棒标注器，证明其在噪声条件下具有更优的泛化性能。
• 在CIFAR-10和合成数据集上验证该方法，比较对称标签噪声和对抗性数据扰动下的性能表现。

实验结果

研究问题

• RQ1 对抗训练在模型泛化与记忆化方面如何与噪声标签相互作用？
• RQ2 生成对抗样本所需的PGD步数能否作为识别错误标注或稀有数据的可靠代理？
• RQ3 对抗训练在无显式校正机制的情况下，能在多大程度上作为隐式标签噪声校正手段？
• RQ4 与标准标签分配方法相比，鲁棒标注器在对抗性标签污染下的表现如何？
• RQ5 PGD步数（κ）能否作为未标注数据中标签可靠性的可靠置信度评分？

主要发现

• 与标准训练相比，对抗训练显著减少了对错误标注数据的记忆化，表现为AT中错误样本周围不存在小簇聚类。
• 在噪声环境下，PGD步数（κ）作为区分正确与错误数据的度量，比损失值更有效。
• 在20%对称标签噪声下，即使100%的未标注数据遭受对抗性污染，鲁棒标注器仍能保持高标签准确率，优于标准方法和基于PGD的基线方法。
• κ值较高（如κ ≥ 10）的数据表现出显著更高的预测准确率（实验中超过90%），证实κ是可靠的置信度评分。
• 鲁棒标注器缩小了正确与错误数据在训练准确率上的差距，AT在错误标注样本上的训练准确率低于ST。
• 在噪声标签下进行对抗训练可同时提升鲁棒性与自然准确率，表明AT作为通用鲁棒学习准则，能隐式校正标签噪声。