Improving Certified Robustness via Adversarial Distillation

Resumen Técnico: Mejora de la Robustez Certificada mediante Destilación Adversaria

Planteamiento del Problema
Las redes neuronales son vulnerables a los ejemplos adversarios, donde pequeñas perturbaciones en la entrada causan una clasificación errónea. Mientras que el entrenamiento adversario (AT) mejora la robustez empírica, los modelos resultantes son difíciles de verificar formalmente. Por el contrario, los métodos de entrenamiento certificado, que optimizan los límites superiores de la pérdida en el peor de los casos (típicamente mediante Propagación de Intervalos de Límites, o IBP), producen modelos verificables pero a menudo sufren una degradación de la precisión estándar. Los enfoques recientes de vanguardia intentan equilibrar esto interpolando entre los límites inferiores adversarios y los límites superiores de IBP. Sin embargo, el compromiso entre la precisión estándar y la precisión certificada sigue siendo un desafío significativo, particularmente a medida que aumentan los radios de perturbación.

Metodología: AD-CERT
Los autores proponen AD-CERT (Adversarial Distillation for Certification), un nuevo objetivo de entrenamiento que combina la destilación de conocimiento adversario con los límites de IBP. La hipótesis central es que la transferencia de conocimiento adversario desde un profesor empíricamente robusto hacia un estudiante certificado puede servir como un sustituto efectivo para el límite inferior adversario, mejorando la relación entre la precisión estándar y la certificada.

La función de pérdida de AD-CERT se formula como una combinación lineal de dos términos:
$$L_{AD-CERT} := (1 - \alpha) \underbrace{KL(P_{\theta_t}(x) \parallel P_{\theta_s}(x_{adv}))}_{\text{Destilación Adversaria}} + \alpha \underbrace{L_{CE}(-z^{\Delta}_{\theta_s}(x, y), y)}_{\text{IBP}}$$

Donde:

• $f_{\theta_t}$ es una red profesora congelada entrenada mediante entrenamiento adversario estándar (PGD).
• $f_{\theta_s}$ es la red estudiante que se está entrenando para la certificación.
• $x_{adv}$ es un ejemplo adversario generado contra el estudiante.
• El término de Destilación Adversaria (AD) minimiza la divergencia de Kullback-Leibler (KL) entre la distribución predictiva del profesor sobre entradas limpias ($P_{\theta_t}(x)$) y la distribución predictiva del estudiante sobre entradas adversarias ($P_{\theta_s}(x_{adv})$).
• El término IBP calcula el límite superior estándar de la pérdida utilizando la Propagación de Intervalos de Límites.
• $\alpha \in [0, 1]$ equilibra los objetivos empíricos y certificados.

Percepciones Teóricas
El artículo proporciona un análisis teórico que caracteriza a AD-CERT:

1. Sustituto del Límite Inferior (Surrogate Lower Bound): Se demuestra que el término AD es equivalente al entrenamiento adversario con etiquetas suaves del profesor, actuando como un "sustituto de límite inferior guiado por el profesor". A diferencia del AT estándar que optimiza un límite inferior rígido, AD-CERT utiliza las etiquetas suaves del profesor para guiar el comportamiento del estudiante en ejemplos adversarios.
2. Escalarización: El objetivo es una escalarización entre un sustituto de límite inferior adversario de etiquetas suaves y un límite superior certificado de IBP.
3. Diferencia Geométrica: A diferencia del AT estándar, que busca márgenes de clase arbitrariamente grandes, la rama AD induce un objetivo finito en el espacio de los logits definido por la distribución predictiva del profesor ($\Delta z^*_{ij} = \log(P_{\theta_t}(x)_i / P_{\theta_t}(x)_j)$). Esto sugiere un paisaje de optimización más suave.

Resultados Experimentales
Los autores evaluaron AD-CERT en MNIST, CIFAR-10 y TinyImageNet utilizando la biblioteca CTBench y el verificador $\alpha,\beta$-CROWN.

• Rendimiento de Vanguardia (State-of-the-Art): AD-CERT logra la precisión certificada de vanguardia en todas las arquitecturas basadas en ReLU evaluadas.
  • En MNIST, proporciona mejoras consistentes y modestas sobre los métodos existentes.
  • En CIFAR-10, mejora la mejor precisión certificada previa basada en ReLU en un promedio de 0.37 puntos porcentuales, con la mayor ganancia en $\epsilon = 2/255$.
  • En TinyImageNet, AD-CERT alcanza la mayor precisión certificada entre todos los métodos comparados, mejorando sustancialmente la precisión estándar sobre los métodos previos de entrenamiento certificado sin destilación.
• Comparación con Métodos de Destilación: En una comparación controlada contra CC-DIST (que realiza destilación de características robustas en el espacio de características), AD-CERT (destilación de logits) logra una mayor precisión certificada, mientras que CC-DIST retiene una precisión estándar ligeramente superior. AD-CERT mejora la precisión certificada sobre CC-DIST hasta en 5.40 puntos porcentuales en configuraciones específicas.
• Estudios de Ablación:
  • Eliminar el componente IBP para probar técnicas de destilación pura revela que igualar a un profesor solo en entradas limpias (KL Natural) no logra transferir la robustez adversaria.
  • La destilación de logits a nivel adversario (AD) preserva la robustez del profesor de manera más efectiva que la destilación en el espacio de características u otras variantes de destilación adversaria (como RSLAD) cuando se utiliza como el punto final empírico.
  • El análisis de sensibilidad del coeficiente IBP $\alpha$ confirma que reducir la fuerza de IBP mejora la precisión estándar pero eventualmente degrada la precisión certificada, lo cual es consistente con las tendencias en la literatura de pérdida expresiva.

Significancia y Reivindicaciones
El artículo afirma que AD-CERT logra cerrar la brecha entre la robustez empírica y la verificación formal. Al desacoplar el punto final empírico (usando una destilación de nivel de logits guiada por un profesor) del punto final certificado (usando IBP puro), el método evita las complejidades de las pérdidas expresivas estrechamente acopladas encontradas en trabajos previos.

Los autores enfatizan que, si bien AD-CERT logra un rendimiento certificado superior, persiste una brecha significativa entre la precisión estándar/adversaria del profesor empíricamente robusto y el estudiante certificablemente robusto, particularmente en radios de perturbación mayores (por ejemplo, CIFAR-10 en $\epsilon = 8/255$). El artículo concluye que, aunque la destilación a nivel de logits es un mecanismo efectivo para transferir la robustez, se necesita trabajo futuro para desarrollar métodos más fuertes para transferir la robustez empírica en robustez certificable sin sacrificar la precisión estándar.