2022/07/10 2022/07/10

Smooth Adversarial Training（AIの最新論文の読解、No.23）

アクセス: 246

コメント: 0

”Smooth Adversarial Training”(Google Brain, 2021.7)について解説する。 
<br />
摂動を加えられた画像は、Adversarial Example（敵対的な例、Fig.1）と呼ばれ、人間の目には元の画像と大きな違いはありませんが（注：Adversarial Exampleのコンテキストでは、元の画像はクリーンな画像と呼ばれることがよくあります）、 分類モデルの推論結果が変更されます。

![](https://aihack.aijobcolle.com/p/cmdegg66e9a8k2kmz67g-cd2b0222.png)
Fig.1　Adversarial Example のサンプル

上の図は敵対的な例であり、摂動は中央のノイズのように見える画像であり、敵対的な例は右側の画像です。 ご覧のとおり、元の画像（左）と敵対的な例はほぼ同じですが、分類結果がパンダからテナガザルに変更されています。

歩行者を認識できる車載AIや乳幼児を監視するAIカメラに対する敵対的な攻撃は、意図的に予期しない動作を引き起こす可能性があります。

敵対的学習とは、事前に訓練データセットに敵対的な例を含めることにより、敵対的攻撃に対する学習をすることです。 これにより、敵対的な例が入力された場合でもモデルを正しく分類できます。つまり、堅牢性が向上します。 ただし、その一方で、モデル自体の分類精度が低下することがわかりました。よって、一般的にモデルの堅牢性と精度には互換性がないと考えられています。

この論文では、敵対的学習過程を分析することにより、上記の一般的な信念を覆す結果を得た。 広く使用されている活性化関数ReLUは、滑らかでない性質のために敵対的学習を抑制し、ReLUの代わりに滑らかな関数を使用すると精度と堅牢性の両方を実現できることがわかりました。 ReLUの代わりにスムーズな関数を使用した学習をスムーズな敵対的訓練（SAT）と呼ぶことにします。

![](https://aihack.aijobcolle.com/p/i767tbc8utszn3atjvxh-f9bec8df.jpg)
Fig.2 　ReLu関数とパラメトリックソフトプラス関数

上図のように、ReLU（左側のオレンジ）のグラフは、x（横軸）がゼロになる前後で角度が変化します。 その結果、微分時に不連続になります（右図のオレンジ色）。 この論文では、この特性のために敵対的学習がうまく機能しないことを示し、ReLUの代わりにスムーズな関数を使用するSmooth Adversarial Training（SAT）を提案します。

**関連研究**
敵対的学習は、敵対的例でモデルをトレーニングすることにより、堅牢性を向上させます。 既存の作業では、敵対的なロバスト性を改善するには、ソース画像（クリーンな画像）の精度を犠牲にするか、勾配マスキングなどの計算コストを増やす必要があります。 この現象は、敵対的なロバスト性の「フリーランチなし」（注：Win-Winソリューションはありません）として知られています。  だし、この論文では、スムーズな敵対的学習により、堅牢性をフリーで向上できることを示します。
敵対的な例による学習に加えて、防御的な蒸留、勾配離散化、動的ネットワークアーキテクチャ、ランダム変換、敵対的な入力のノイズ除去/精製など、堅牢性を向上させる他の方法が報告されています。ただし、これらの方法は勾配の質を変化させ、勾配降下法はうまく機能しない可能性があることが指摘されています。

**ReLUによる敵対的学習の弱体化**
ここでは、一連の実験を通じて、ReLUが勾配計算（バックプロパゲーション）パスで敵対的学習を阻害するかどうか、および逆に、滑らかな関数が敵対的学習を強化するかどうかを示します。 敵対的学習は、次の方程式で表される最適化問題と考えることができます。
![](https://aihack.aijobcolle.com/p/m45i5cdek9y4j8scghok-c7fc4320.png)
ここで、Dはデータの分布、Lは損失関数、θはネットワークパラメータ、xはトレーニング画像、yは正しいラベル、εは摂動、Sは摂動範囲です。Sは、人間が摂動を認識しないようにできるだけ小さく設定されています。

上記の式に示すように、敵対的学習は2つの部分に分けられます。1つは敵対的例による損失を最大化する方向（内側）、もう1つはパラメーターを更新して全体的なモデル損失を減らす方向（外側）です。

この研究では、ResNet-50が基本モデルとして使用され、ReLUがデフォルトでアクティブ化関数として使用されます。シングルステップPGD攻撃（投影勾配降下攻撃者）を使用します。これは、学習によってますます強力な敵を作成するのではなく、計算上安価な方法で敵を1回だけ生成します。 PGD-1によって作成された敵は訓練されています。

PGDは、摂動を計算するために使用される最適化手法です。摂動は敵対的な例を生成し、敵対的な例は、自然に見えるようにトレーニングデータ分布内に収まる必要があります。したがって、「不自然ではない」範囲内で「最適な摂動を追加」するために制約付き最適化を実行する必要があり、PGDを使用してこれを行います（注：PGDは頻繁に発生するため、敵対的な例を生成する方法と見なされることがよくあります敵対的攻撃のコンテキストで使用されますが、これは最適化手法です）。

次に、評価方法としてPGD-200を使用します（機械学習を実行して敵対的な例を作成し、損失が最大になるように摂動を200回更新します）。検証として、攻撃を200回更新するだけで十分であると見なされることに注意してください。

![](https://aihack.aijobcolle.com/p/6jinr8nck3ugnjwbs4co-b2938670.jpg)

上記は結果の要約です（表1）。 前述のように、敵対的学習は、（1）敵対的例を強化する学習（敵対的攻撃者の場合は列2）と（2）全体的なモデル損失を減らすための学習（ネットワークオプティマイザーの場合は列3）に分けられます。

まず、敵対的なトレーニングなしでResNet-50をPGD-200攻撃すると、68.8％の精度と33％の堅牢性が得られます。 対照的に、ネットワークの最適化中にReLUをParametric Softplus関数に置き換えると、堅牢性が1.5％向上します。

![](https://aihack.aijobcolle.com/p/wmb254nycjtwr2xmorwu-2390d7f9.png)

ParametricSoftplus関数は上に示されています。αは任意の数です。

![](https://aihack.aijobcolle.com/p/ihezv97r7ovfaydwrhey-2f3c8adc.png)

その導関数は上に示されています。 ReLUとは異なり、導関数も連続（青）です。
敵対的学習の式の中で、まず著者は、ReLUは（1）強力な敵対的な例を生成するのには不適切であると指摘しています。

これは、敵対的な例を生成するには勾配計算が必要ですが、ReLUの出力はx=0付近で急速に変化するためです。 その結果、摂動計算中に値が大幅に変化するため、ReLUはより強力な敵対的な例を学習するプロセスを弱めます。 そのため、著者らは、ReLUを近似する滑らかな関数であるParametricSoftplusを提案しました。 αは任意ですが、ReLUをより適切に近似するために、経験的にα=10として定義されています。

**敵対する攻撃者の勾配の品質を改善**

まず、トレーニング中の（1）敵対者の例の計算（=内部最大化ステップ）に対する勾配品質の影響を見てみましょう。 内部最大化ステップは次の式で表されます。
![](https://aihack.aijobcolle.com/p/u9btytpwtedmho28ykbj-d1ae29ad.png)

このステップでは、より強力な敵を生成しますが、敵の生成には勾配計算が必要です。 ReLUの代わりにパラメトリックSoftplus関数を使用します。
正確には、敵対的な例の生成を学習する場合、転送伝播にはReLUを使用し、逆伝播にはParametricSoftplusを使用します。 次に、モデル全体を学習する場合（敵対的学習）、フォワードプロパゲーションとバックプロパゲーションの両方にReLUを使用します。 その結果、堅牢性は1.5％向上しますが、精度は0.5％低下します（表1）。
![](https://aihack.aijobcolle.com/p/amzpd48jnmpo29apkchn-d5e5dc11.png)

![](https://aihack.aijobcolle.com/p/rzt2gr47ntait3ygytxk-fb2c803d.png)

結果は上に示されています。 最も堅牢な機能はSILUであり、42.3％の堅牢性と69.7％の精度を実現します。 本研究で使用したもの以外のより良い平滑化関数は、結果をさらに改善することが期待されます。

**結論**
本論文では、敵対的学習において活性化関数を滑らかな関数に置き換える滑らかな敵対的訓練（SAT）を提案した。 実験結果は、SATの有効性を示しており、精度と堅牢性の点で既存の作業を大幅に上回っていることを示しています。

Smooth Adversarial Training（AIの最新論文の読解、No.23）

人気記事ランキング

YOLOv5 登場！このプロ…

XGBoost（GBDT）とランダ…

深層学習はシステム1から…

PyTorchの躍進を紐解く３…

勾配法と学習率

いいね！ランキング

深層学習はシステム1からシステム2へ

XGBoost（GBDT）とランダムフォレストから…

ディープラーニングを学び始めた方へ　東…

なぜZoomは40分で切れるのか？

論文要約

ユーザーランキング

タグランキング

深層学習

AI

deeplearning

ディープラーニング

Transformer