Manifold-Constrained Adversarial Training for Long-Tailed Robustness via Geometric Alignment

Résumé Technique : Entraînement Adversarial Contraint par Variété pour la Robustesse en Distributions à Queue Longue via l'Alignement Géométrique

1. Énoncé du Problème

Les réseaux de neurones profonds, bien que performants en reconnaissance visuelle, restent vulnérables aux perturbations adverses. Bien que l'entraînement adversarial (AT) constitue une défense de premier plan, son efficacité se dégrade considérablement sous des distributions de classes à queue longue (où les classes principales sont abondantes et les classes minoritaires sont rares). Dans de tels contextes, l'AT standard souffre de deux mécanismes de défaillance couplés :

1. Désalignement Géométrique : L'optimisation dominée par les classes principales comprime l'espace des caractéristiques, réduisant les marges inter-classes pour les classes minoritaires et créant des frontières de décision fragiles et instables.
2. Dérive Adversaire Hors-Variété : En raison de la rareté des échantillons minoritaires, l'optimisation adversaire non contrainte exploite des régions de faible densité et non soutenues sémantiquement de l'espace des caractéristiques. Cela provoque une dérive des exemples adverses loin du support réel des données, conduisant à des frontières de décision erronées et à un effondrement des marges de robustesse pour les classes minoritaires.

Les approches existantes traitent principalement ce problème par la pondération des pertes, le rééquilibrage des marges ou la distillation de connaissances. Cependant, elles échouent souvent à réguler explicitement la géométrie des représentations apprises ou à garantir la validité sémantique des exemples adverses.

2. Méthodologie : Entraînement Adversarial Contraint par Variété (MCAT)

Les auteurs proposent MCAT, un cadre unifié qui adresse à la fois le déséquilibre géométrique et la validité sémantique grâce à deux mécanismes complémentaires :

A. Contraintes de Variété Sémantique Conditionnelles par Classe
Pour empêcher la dérive adversaire vers des régions de faible densité, MCAT contraint les perturbations à rester proches des variétés sémantiques conditionnelles par classe ($\mathcal{M}_y$) dans l'espace des caractéristiques.

• Implémentation : Au lieu de récupérer explicitement les variétés, la méthode emploie des générateurs légers conditionnels par classe $\{G_y\}$ (MLP) entraînés pour mapper des codes latents vers l'espace des caractéristiques de chaque classe. Ces générateurs sont pré-entraînés sur des caractéristiques propres et figés pendant l'entraînement adversaire.
• Pénalité : Une métrique de déviation hors-variété $d_{\mathcal{M}_y}(u) = \min_z \|u - G_y(z)\|_2^2$ est calculée pour un embedding $u$. Cette pénalité est soustraite de la perte lors de l'étape de maximisation interne, guidant la recherche adversaire vers des régions de haute densité et sémantiquement valides.
• Optimisation : La maximisation interne est résolue en utilisant le PGD Supporté par Variété (MS-PGD), qui projette les perturbations de retour dans le budget $\ell_\infty$ tout en biaisant la direction de recherche via le gradient de la variété.

B. Régularisation Géométrique Inspirée par les ETF
Pour contrer la compression des marges des classes minoritaires, MCAT impose une géométrie équilibrée dans les poids du classifieur.

• Implémentation : La matrice de poids du classifieur $W$ est régularisée vers une structure de Cadre Équiangulaire Simplexe (ETF). Cela est réalisé en pénalisant les déviations de la matrice de Gram $W^\top W$ par rapport à la forme $\alpha I + \beta \mathbf{1}\mathbf{1}^\top$.
• Effet : Cela encourage une séparation angulaire uniforme entre tous les vecteurs de classe, maximisant l'angle inter-classe minimum ($\theta_{\min}$) et empêchant les classes principales de dominer la géométrie de l'espace des caractéristiques.

C. Objectif Unifié
L'objectif d'entraînement combine la perte robuste standard, la pénalité de variété et la régularisation géométrique :
$$\mathcal{R}_{\text{MCAT}}(\Theta) = \mathbb{E}_{(x,y)\sim\mathcal{D}} \left[ \max_{\|\delta\|_\infty \le \epsilon} \left( \ell(f_\Theta(x+\delta), y) - \lambda d_{\mathcal{M}_y}(\phi_\Theta(x+\delta)) \right) \right] + \beta \mathcal{R}_{\text{geom}}(\Theta)$$
où $\lambda$ contrôle la cohérence sémantique et $\beta$ contrôle l'équilibrage géométrique.

3. Analyse Théorique

L'article fournit deux résultats théoriques clés :

1. La Séparation Géométrique Implique une Marge de Robustesse : Les auteurs prouvent qu'un angle inter-classe minimum plus grand ($\theta_{\min}$) implique directement une borne inférieure sur la marge de robustesse certifiable. Puisque la structure ETF maximise $\theta_{\min}$, elle fournit une garantie prouvable de robustesse, en particulier pour les classes minoritaires dont les marges sont autrement comprimées.
2. La Contrainte de Variété Contrôle le Risque Robuste : Les auteurs montrent que l'objectif MCAT borne supérieurement le vrai risque robuste sur les régions sémantiques de haute densité. La pénalité de variété supprime la dérive hors-variété, garantissant que la robustesse est apprise au sein de régions sémantiquement valides plutôt que dans des artefacts de faible densité.

4. Résultats Expérimentaux

Des expériences ont été menées sur des benchmarks standards à queue longue (CIFAR-10-LT, CIFAR-100-LT, Tiny-ImageNet-LT) avec divers ratios de déséquilibre (IR).

• Robustesse Globale : MCAT surpasse systématiquement les bases de référence AT standard (TRADES, MART, AWP) et les méthodes de robustesse à queue longue les plus avancées (RoBal, REAT, TAET, Auto-distillation) sur tous les jeux de données et types d'attaques (PGD-20, AutoAttack).
• Performance des Classes Minoritaires et Équilibrée : Crucialement, MCAT réalise des améliorations significatives en robustesse des classes minoritaires et en robustesse équilibrée (précision moyenne par classe) sans sacrifier la précision sur les données propres. Par exemple, sur CIFAR-100-LT (IR=100), MCAT a amélioré la robustesse Tail-AA d'environ 16 % (Auto-distillation) à 20,0 %.
• Études d'Ablation :
  • L'ajout de la contrainte de variété seule améliore considérablement la robustesse des classes minoritaires en réduisant la dérive hors-variété.
  • L'ajout de l'alignement géométrique seul améliore les métriques équilibrées en corrigeant le biais géométrique.
  • La combinaison produit les meilleurs résultats, confirmant la nécessité de traiter les deux problèmes.
• Vérification du Mécanisme : Les diagnostics empiriques confirment que MCAT préserve des angles inter-classes plus grands et réduit considérablement la dérive hors-variété par rapport aux bases de référence, s'alignant ainsi avec les prédictions théoriques.

5. Signification et Revendications

L'article revendique que l'atteinte de la robustesse adversaire sous des distributions à queue longue nécessite une approche duale : corriger la géométrie de l'espace de décision et garantir la validité sémantique des exemples adverses.

• Nouveauté : Contrairement aux travaux antérieurs qui se concentrent sur la conception de pertes ou des heuristiques d'optimisation, MCAT régule explicitement la géométrie des représentations et contraint les exemples adverses aux variétés sémantiques.
• Insight : Les auteurs identifient le "désalignement géométrique" et la "dérive adversaire hors-variété" comme les causes fondamentales de l'échec de la robustesse dans les contextes à queue longue.
• Impact : En intégrant une régularisation inspirée des ETF avec des contraintes de variété, MCAT stabilise les frontières de décision et améliore substantiellement la fiabilité et l'équité des modèles robustes pour les classes minoritaires, comblant ainsi un écart critique dans les scénarios de déploiement réel où le déséquilibre des données est prévalent.