Improving Clean Accuracy via a Tangent-Space Perspective on Adversarial Training

Probleemstelling

Adversarial training (AT) is een van de meest effectieve methoden om diepe neurale netwerken (DNN's) robuust te maken tegen kwaadwillende aanvalsperturbaties (adversarial examples). Echter, deze verbeterde robuustheid gaat vaak gepaard met een aanzienlijke daling in de nauwkeurigheid op schone, ongeperturbeerde data (de zogenaamde "clean accuracy").

De auteurs stellen dat dit compromis ontstaat omdat standaard adversarial training ongedifferentieerd trainingsdata gebruikt, inclusief adversarial examples die ver van de onderliggende data-maanifold liggen. Perturbaties met een groot component in de normale richting (loodrecht op de manifold) kunnen de beslissingsgrens van het model te sterk vervormen, wat leidt tot een verslechtering van de generalisatie op schone data.

Methodologie: TART

Het paper introduceert TART (Tangent Direction Guided Adversarial Training), een nieuw raamwerk dat de geometrie van de data-maanifold benut om dit probleem op te lossen. De kern van de methode is het onderscheid maken tussen perturbaties die langs de manifold lopen (tangentiële component) en die die er loodrecht vanaf wijken (normale component).

De werking van TART verloopt in de volgende stappen:

1. Schatting van de Tangentruimte:

   • Voor real-world datasets (waar de exacte manifold onbekend is) wordt eerst een autoencoder getraind om de data te comprimeren naar een laag-dimensionale latent space en deze weer te reconstrueren.
   • Op basis van deze decoder wordt de tangentruimte lokaal rondom elk trainingsbeeld geschat. Dit gebeurt door kleine verstoringen in de latent space te genereren, deze te decoderen, en vervolgens PCA (Principal Component Analysis) toe te passen om de belangrijkste richtingen (de tangentvectoren) te bepalen.

2. Berekening van de Tangentiële Component:

   • Voor een gegenereerd adversarial voorbeeld $x^*$ wordt de perturbatievector ($x^* - x$) geprojecteerd op de geschatte tangentruimte.
   • De grootte (norm) van deze projectie is de tangentiële component. Een grote waarde betekent dat het voorbeeld dicht bij de manifold blijft; een kleine waarde betekent dat het ver van de manifold afwijkt (grote normale component).

3. Adaptieve Perturbatiegrens:

   • In plaats van een uniforme perturbatiegrens ($\epsilon$) voor alle data te gebruiken, past TART een adaptieve strategie toe.
   • De auteurs stellen dat voorbeelden met een grote tangentiële component (dicht bij de manifold) nuttig zijn voor robuustheid, terwijl voorbeelden met een kleine tangentiële component (grote normale component) schadelijk zijn voor de clean accuracy.
   • Selectie-regel: Binnen een mini-batch wordt de mediane tangentiële component berekend.
     • Voorbeelden in de bovenste 50% (grote tangentiële component) krijgen de volledige perturbatiegrens $\epsilon_{max}$ en worden gebruikt voor training.
     • Voorbeelden in de onderste 50% (kleine tangentiële component) krijgen een perturbatiegrens van 0. Dit betekent dat het oorspronkelijke schone beeld ($x$) wordt gebruikt in plaats van het gegenereerde adversarial voorbeeld.
   • Deze aanpak voorkomt dat het model leert op "off-manifold" voorbeelden die de beslissingsgrens onnodig vervormen.

4. Efficiëntie:

   • Om de rekentijd te beperken, worden de tangentruimtes en projectiematrices vooraf berekend en opgeslagen voordat het trainingproces begint. Dit zorgt voor een minimale overhead (ongeveer 1,24x de tijd van standaard AT) en maakt het gebruik van TART praktisch toepasbaar.

Belangrijkste Bijdragen

• Nieuw Inzicht: Het paper is het eerste dat expliciet de concepten van tangentruimte en -richting integreert in adversarial training. Het identificeert dat perturbaties met een grote normale component de hoofdoorzaak zijn van de daling in clean accuracy.
• TART Framework: Een praktische methode die de perturbatiegrens dynamisch aanpast op basis van de geometrische eigenschappen van het adversarial voorbeeld.
• Universeel Toepasbaar: TART is ontworpen als een plug-in module die naadloos kan worden geïntegreerd met bestaande defensiemethoden (zoals TRADES, MART, GAIRAT).
• Theoretische Onderbouwing: Er wordt een theoretisch argument gepresenteerd dat aantoont dat het trainen op distributies die te ver van de echte data-distributie liggen (hoge totale variantie afstand), leidt tot slechtere clean accuracy.

Resultaten

De auteurs hebben TART getest op synthetische en echte datasets:

• Transformed Hemisphere (Synthetisch): Op een gesimuleerde dataset waar de tangentruimte exact bekend is, overtrof TART een tegenovergestelde methode ("Reverse-TART") consistent. Dit bevestigde de hypothese dat het vermijden van grote normale componenten essentieel is.
• CIFAR-10: TART werd geïntegreerd met standaard AT, TRADES, MART en GAIRAT.
  • Resultaat: In alle gevallen steeg de clean accuracy aanzienlijk (bijvoorbeeld van ~81.5% naar ~83.5% bij standaard AT) zonder dat de robuustheid tegen aanvallen (FGSM, PGD, AutoAttack) daalde.
• Tiny ImageNet: Op deze grotere en complexere dataset toonde TART dezelfde trend: hogere clean accuracy met vergelijkbare robuustheid in vergelijking met standaard AT.

Significantie

De betekenis van dit werk ligt in het bieden van een oplossing voor het fundamentele compromis tussen robuustheid en nauwkeurigheid in adversarial learning.

• Geometrische Benadering: Het verschuift de focus van puur statistische optimalisatie naar een geometrisch perspectief, waarbij de structuur van de data-maanifold centraal staat.
• Efficiëntie: Het toont aan dat het selectief trainen op "goede" adversarial voorbeelden (die de manifold respecteren) effectiever is dan het trainen op alle gegenereerde voorbeelden.
• Toekomstperspectief: TART opent de deur voor verdere onderzoek naar "geometry-aware" defensiemethoden en suggereert dat het optimaliseren van perturbatiegrenzen per voorbeeld een veelbelovende richting is voor toekomstige studies.

Kortom, TART biedt een elegante en effectieve manier om de clean accuracy van robuuste modellen te herstellen door te leren van de onderliggende geometrie van de data, zonder in te leveren op de veiligheid tegen aanvallen.