🤖 machine learning

When Muon Optimizer Meets Adversarial Training: A Theoretical and Empirical Study

Cet article présente une étude théorique et empirique démontrant que l'optimiseur Muon, qui orthogonalise les mises à jour à valeurs matricielles, améliore la robustesse de l'entraînement adversarial à travers diverses architectures et modèles de menace en imposant une stabilité de la norme spectrale, positionnant ainsi la géométrie de l'optimiseur comme un facteur critique dans la sécurité des modèles.

Auteurs originaux : Jun Yan, Weiquan Huang, Jiankai Zuo, Yujian Mo, Xi Fang, Chengliang Wu, Zeming Wei

Publié 2026-05-27

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Jun Yan, Weiquan Huang, Jiankai Zuo, Yujian Mo, Xi Fang, Chengliang Wu, Zeming Wei

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

La Vue d'Ensemble : Construire une Forteresse contre des Attaqueurs Sournois

Imaginez que vous entraînez un robot à reconnaître des chats et des chiens. Vous voulez qu'il soit si intelligent que, même si quelqu'un colle discrètement un tout petit autocollant invisible sur l'oreille d'un chat (une « attaque adversaire »), le robot l'identifie toujours correctement comme un chat. Ce processus d'entraînement du robot pour ignorer ces tours sournois s'appelle l'Entraînement Adversaire (AT).

Pendant longtemps, l'outil standard pour construire cette « forteresse » était une méthode appelée SGD (Descente de Gradient Stochastique). Considérez le SGD comme un randonneur très stable et fiable qui fait de petits pas prudents en montant une montagne. C'est lent, mais il tombe rarement d'une falaise.

Récemment, un nouvel outil plus rapide appelé AdamW est devenu populaire. C'est comme un randonneur avec un jetpack qui ajuste sa vitesse en fonction du terrain. Il atteint le sommet de la montagne (l'apprentissage standard) beaucoup plus vite, mais dans le scénario d'entraînement « contre les attaques sournoises », le jetpack fait parfois vaciller le randonneur et le fait tomber de la falaise (sécurité médiocre).

La Question : Existe-t-il un moyen d'obtenir la vitesse du jetpack sans le vacillement ?

Voici l'Optimiseur Muon : Le « Professeur de Danse »

Le papier présente un nouvel outil appelé Muon. Les auteurs comparent Muon à un professeur de danse spécialisé dans le maintien des danseurs parfaitement alignés.

Le Problème avec les Outils Standards : Lorsque AdamW tente d'apprendre, il fait parfois grandir les « muscles » internes du robot (les poids mathématiques) de manière excessive ou déséquilibrée, comme un haltérophile qui soulève accidentellement une barre trop lourde et se brise le dos. Cette instabilité rend le robot vulnérable aux attaques.
La Solution Muon : Muon agit comme un professeur de danse strict. Chaque fois que le robot tente de faire un pas (mettre à jour son apprentissage), Muon vérifie le mouvement. Si le mouvement est trop sauvage ou déséquilibré, Muon force le robot à « orthogonaliser » le pas.
- L'Analogie : Imaginez que le robot essaie de pousser une lourde boîte. AdamW pourrait la pousser selon un angle étrange et irrégulier qui fait basculer la boîte. Muon s'assure que le robot pousse la boîte selon une ligne parfaitement droite et équilibrée, comme un danseur glissant sur une scène. Il maintient la « forme » du mouvement stable, empêchant le robot de développer de « mauvaises habitudes » (poids instables) que les attaquants pourraient exploiter.

Ce que le Papier a Découvert (Les Résultats)

Les chercheurs ont testé ce « Professeur de Danse » (Muon) contre le « Randonneur Stable » (SGD) et le « Randonneur à Jetpack » (AdamW) dans trois scénarios différents :

1. Petits Jeux de Données (Comme CIFAR-10)

Le Résultat : Muon a été un immense succès. Il était bien meilleur qu'AdamW (qui peinait) et tout aussi bon, voire parfois meilleur, que le stable SGD.
L'Enseignement : Sur des tâches plus petites et gérables, les « pas de danse » de Muon ont maintenu l'entraînement stable et sécurisé, empêchant le robot de se laisser confondre par les attaques sournoises.

2. Vision Transformers (ViTs)

Le Résultat : C'est là qu'AdamW a vraiment échoué. En essayant d'entraîner des modèles complexes de « Vision Transformer », AdamW s'est souvent effondré complètement, aboutissant à un robot qui devinait essentiellement au hasard. Muon, en revanche, a maintenu l'entraînement stable et a produit un robot sécurisé.
L'Enseignement : Pour ces architectures d'IA modernes et complexes, le « Professeur de Danse » était essentiel. Sans Muon, l'entraînement était trop chaotique pour être sécurisé.

3. Grands Jeux de Données (Comme ImageNet)

Le Résultat : Lorsqu'ils sont passés à un jeu de données massif (des millions d'images), le « Randonneur Stable » (SGD) restait le champion. Muon était bon, mais il peinait un peu plus face à l'ampleur pure et nécessitait un réglage très spécifique pour bien fonctionner.
L'Enseignement : Muon est un outil puissant, mais pour les travaux les plus lourds et les plus vastes, l'ancienne méthode fiable (SGD) conserve encore l'avantage pour le moment.

Le « Pourquoi » Derrière la Magie

Le papier ne se contente pas de dire « ça marche » ; il explique pourquoi en utilisant des mathématiques (que nous pouvons traduire) :

La Limite de Vitesse : Muon impose une « limite de vitesse » sur la mesure dans laquelle les poids internes du robot peuvent croître dans une seule direction. Il empêche la « croissance incontrôlée » qui se produit avec AdamW.
Le Filet de Sécurité : Considérez AdamW comme une voiture sans freins qui accélère dans les virages. Muon est comme une voiture avec un limiteur de vitesse qui empêche le véhicule de perdre le contrôle, même si la route devient cahoteuse. Cette « limite de vitesse » sur les mathématiques garantit que le robot ne devient pas fragile.

La Conclusion

Le papier conclut que la façon dont vous choisissez de « conduire » le processus d'apprentissage compte autant que la voiture elle-même.

Muon est un nouveau conducteur excitant qui maintient la voiture stable et sécurisée, surtout lorsque la route est difficile (modèles complexes) ou que la circulation est légère (petits jeux de données).
Ce n'est pas une baguette magique qui répare tout (il nécessite encore un réglage pour les très grands jeux de données), mais c'est une amélioration majeure par rapport à la méthode actuelle « à jetpack » (AdamW) en matière de sécurité.
Les auteurs suggèrent qu'à l'avenir, les experts en sécurité devraient prêter plus attention au « conducteur » (l'optimiseur) qu'ils choisissent, et non seulement à la « voiture » (l'architecture du modèle).

En bref : Si vous voulez que votre IA soit résistante aux attaques sournoises, utiliser le « Professeur de Danse » Muon est un excellent moyen de maintenir votre entraînement stable, en particulier pour les modèles d'IA modernes et complexes.

Résumé Technique : Quand l'Optimiseur Muon Rencontre l'Entraînement Adversarial

Énoncé du Problème

L'Entraînement Adversarial (AT) demeure la défense empirique la plus fiable contre les attaques adverses, pourtant sa robustesse dépend de manière critique de la manière dont le problème d'optimisation min-max sous-jacent est résolu. Bien que la Descente de Gradient Stochastique (SGD) soit l'optimiseur par défaut pour l'AT en raison de sa robustesse observée, les optimiseurs adaptatifs comme AdamW améliorent souvent l'entraînement standard mais produisent une robustesse inférieure. Récemment, l'optimiseur Muon s'est imposé comme une alternative haute performance pour l'entraînement à grande échelle, utilisant des mises à jour matricielles orthogonalisées via une décomposition polaire approximative. Cependant, l'impact de cette géométrie spécifique d'optimiseur sur la robustesse adversarialle sous des modèles de menace forts et hétérogènes reste inexploré. Cet article aborde la question suivante : L'optimisation orthogonalisée peut-elle améliorer l'AT, et quels sont les mécanismes théoriques et empiriques régissant ce comportement ?

Méthodologie

L'étude emploie une approche duale combinant une analyse théorique de la règle de mise à jour de Muon avec une évaluation empirique complète à travers plusieurs architectures et modèles de menace.

Analyse Théorique

Les auteurs analysent la règle de mise à jour de Muon, où le gradient accumulé par la momentum $M_t$ est transformé en un facteur polaire approximatif $U_t$ (orthogonalisé) avant la mise à jour des poids $W_{t+1} = (1-\eta\lambda)W_t - \eta U_t$ .

Plafond de Stabilité de la Norme Spectrale : L'article démontre que la mise à jour polaire impose un plafond structurel sur la norme spectrale des mises à jour matricielles. Contrairement aux optimiseurs adaptatifs qui peuvent présenter une croissance spectrale illimitée, les mises à jour orthogonalisées de Muon garantissent que la norme spectrale des poids reste bornée par une fonction du taux d'apprentissage, de la décroissance des poids et de l'erreur d'approximation ( $\|W_t\|_2 \leq \max(\|W_0\|_2, \frac{1+\bar{\epsilon}}{\lambda})$ ).
Dynamique du Gradient : Les résultats théoriques indiquent que Muon descend la perte adversarialle le long de la direction de la norme nucléaire. Cela fournit une garantie de descente par étape structurellement plus grande par rapport aux étapes de gradient standard, particulièrement en présence de gradients adversariaux à haute variance.
Bornes de Robustesse : En bornant les normes spectrales des couches, les auteurs dérivent une borne structurelle sur la constante de Lipschitz de la fonction de marge, reliant la géométrie de mise à jour de l'optimiseur à la robustesse du modèle face aux attaques bornées en $\ell_p$ .

Évaluation Empirique

Les auteurs ont adapté Muon pour l'AT en utilisant la Descente de Gradient Projetée Automatique (APGD) comme boucle d'attaque interne. Les expériences ont été menées sur :

Ensembles de données : CIFAR-10 et ImageNet.
Architectures : PreActResNet-18, WideResNet (WRN-34-10, WRN-34-20) et Transformers de Vision (ViT-B, ViT-L).
Modèles de menace : $\ell_\infty$ , $\ell_1$ , $\ell_2$ , et leurs unions.
Comparateurs : SGD, AdamW et Minimisation Sensible à la Netteté (SAM).

Contributions Clés

Réexamen du Choix d'Optimiseur comme Facteur de Sécurité : L'article identifie la géométrie de mise à jour matricielle orthogonalisée comme un facteur critique, sous-exploré, dans l'entraînement adversarial, allant au-delà de la comparaison conventionnelle SGD vs AdamW.
Analyse Mécanistique de Muon : Les auteurs fournissent une explication théorique du comportement de Muon, démontrant que sa règle de mise à jour polaire impose un plafond de norme d'opérateur sur les mises à jour matricielles. Cela empêche la croissance spectrale instable souvent observée avec les optimiseurs adaptatifs, offrant une explication diagnostique des gains de robustesse.
Évaluation Multi-Norme Contrôlée : L'étude présente une comparaison systématique de SGD, AdamW et Muon à travers divers contextes. Elle clarifie les compromis entre les mises à jour orthogonalisées (Muon) et la perturbation sensible à la netteté (SAM), montrant que Muon agit comme une alternative de géométrie d'optimiseur plutôt que comme un remplacement direct.

Résultats Clés

Performance vs AdamW : Muon surpasse substantiellement AdamW en AT à la fois sur les CNN et les ViT. Sur les architectures ViT, AdamW souffre souvent d'instabilité d'entraînement ou d'un effondrement vers une performance proche du hasard, tandis que Muon maintient la stabilité et une robustesse compétitive.
Performance vs SGD : Sur des ensembles de données à petite échelle (CIFAR-10) avec des CNN surparamétrés (par exemple WRN-34-10/20), Muon atteint une robustesse d'union égale ou supérieure à SGD. Cependant, sur des ensembles de données à grande échelle comme ImageNet, SGD performe actuellement mieux, suggérant que Muon est plus sensible au réglage des hyperparamètres (taux d'apprentissage, échauffement) à grande échelle.
Comparaison avec SAM : Muon améliore la géométrie de mise à jour sans le coût computationnel supplémentaire de l'étape de perturbation des poids requise par SAM. Bien que SAM atteigne souvent une robustesse légèrement supérieure dans des contextes spécifiques, Muon offre une alternative plus efficace avec une stabilité comparable.
Surapprentissage Robuste : L'étude observe que Muon, tout comme SGD, est susceptible de « surapprentissage robuste » dans les phases tardives de l'entraînement. L'arrêt précoce reste une stratégie nécessaire pour l'AT basée sur Muon.
Robustesse Boîte Noire : Les modèles entraînés avec Muon démontrent une forte transférabilité, maintenant une haute robustesse contre les attaques de transfert en boîte noire, indiquant que les gains ne sont pas de simples artefacts de chemins d'optimisation en boîte blanche.

Signification et Revendications

L'article revendique que la géométrie de l'optimiseur est un facteur pertinent pour la sécurité dans l'entraînement adversarial. En introduisant Muon, les auteurs démontrent que les mises à jour orthogonalisées peuvent fournir une alternative stable à SGD, particulièrement dans des scénarios où les optimiseurs adaptatifs échouent (par exemple, les Transformers) ou où l'efficacité computationnelle est une préoccupation par rapport à SAM.

Les auteurs concluent modestement que Muon ne domine pas universellement SGD ; plutôt, il offre une « géométrie de mise à jour orthogonalisée stable » qui améliore souvent l'optimisation robuste précoce. Les résultats soulignent que si Muon est un outil puissant pour l'AT, son efficacité à grande échelle (ImageNet) nécessite une conception supplémentaire des hyperparamètres et des calendriers. Le travail établit un lien théorique entre la décomposition polaire et la stabilité spectrale, suggérant que le contrôle de la géométrie des mises à jour est aussi important que le paysage de la perte lui-même pour atteindre la robustesse.