本文探讨了过拟合与对抗样本的关系，揭示了单步对抗训练导致的过拟合问题。作者提出了基于多阶段优化的MOAT方法，通过结合不同阶段的样本（干净样本、单步对抗样本和多步对抗样本）来提高模型的抗攻击能力，有效防止过拟合，降低训练开销。
论文方法
作者分析了过拟合训练和训练中使用的对抗样本之间的关系。在分析的基础上，作者提出了基于多阶段优化的对抗训练（ M O A T \mathrm{MOAT} MOAT）方法，通过允许使用干净样本、单步对抗样本和多步对抗样本来增强模型的对抗鲁棒行，并提供了改进的 M O A T \mathrm{MOAT} MOAT变体，又名为 I M O A T \mathrm{IMOAT} IMOAT。
过拟合和对抗样本之间的关系
先前的工作表明，在对抗训练中使用单步对抗样本会导致模型过拟合，这对对抗训练来说是一个非常关键挑战。在对抗训练中采用多步对抗样本进行训练就不会存在这样的问题。为了更深入地了解对抗训练中模型过拟合的问题，作者分析模型过拟合和对抗训练强度之间的关系，并试图回答以下问题：
如何选择一个足够大的
K
K
K值，当模型训练的
K
K
K步对抗样本时，以避免模型训练过程中过拟合现象？
作者在
C
I
F
A
R
−
10
\mathrm{CIFAR-10}
CIFAR−10和
C
I
F
A
R
−
100
\mathrm{CIFAR-100}
CIFAR−100数据集上记录了单步对抗训练（
F
G
S
M
−
A
T
\mathrm{FGSM-AT}
FGSM−AT）和
K
K
K步对抗训练
P
G
D
K
−
A
T
\mathrm{PGDK-AT}
PGDK−AT的鲁棒性测试精度。最大扰动
ϵ
\epsilon
ϵ训练中使用值的固定为
8
/
255
8/255
8/255，
P
G
D
K
−
A
T
\mathrm{PGDK-AT}
PGDK−AT步长
α
\alpha
α的值固定为
max
(
ϵ
/
4
,
ϵ
/
K
)
\max(\epsilon/4,\epsilon/K)
max(ϵ/4,ϵ/K)。为了验证稳健的测试精度，作者使用
P
G
D
7
\mathrm{PGD7}
PGD7攻击的扰动大小为
ϵ
=
8
/
255
\epsilon= 8/255
ϵ=8/255，步长为
α
=
2
/
255
\alpha= 2/255
α=2/255。
如下图所示作者列举了各种对抗训练方法（即
F
G
S
M
−
A
T
\mathrm{FGSM-AT}
FGSM−AT、
P
G
D
2
−
A
T
\mathrm{PGD2-AT}
PGD2−AT、
P
G
D
4
−
A
T
\mathrm{PGD4-AT}
PGD4−AT和
P
G
D
8
−
A
T
\mathrm{PGD8-AT}
PGD8−AT）在每个训练时期的鲁棒性测试精度。可以清楚地观察到单步对抗训练
F
G
S
M
−
A
T
\mathrm{FGSM-AT}
FGSM−AT模型出现了过拟合，其中在
C
I
F
A
R
−
10
\mathrm{CIFAR-10}
CIFAR−10数据集上训练
19
19
19轮后，针对
P
G
D
7
\mathrm{PGD7}
PGD7攻击的鲁棒测试精度突然下降到几乎为零，在
C
I
F
A
R
−
100
\mathrm{CIFAR-100}
CIFAR−100数据集上也发生了类似的现象。另外可以发现，在整个训练过程中，任何
K
K
K步对抗训练（
K
≥
2
K\ge 2
K≥2）都不会出现过拟合现象，
K
K
K值越大，鲁棒性精度越高。
基于多阶段优化的对抗训练
基于上述观察，作者考虑采用多步对抗样本来避免单步对抗训练中模型过拟合。对抗训练的训练开销与反向传播次数呈线性关系，在训练时采用
K
K
K步对抗样本时，反向传播的总次数与
(
K
+
1
)
T
(K + 1)T
(K+1)T成正比，其中
T
T
T为训练轮数。单步对抗训练
F
G
S
M
−
A
T
\mathrm{FGSM-AT}
FGSM−AT的训练开销为
2
T
2T
2T，而多步对抗训练
P
G
D
2
−
A
T
\mathrm{PGD2-AT}
PGD2−AT的训练开销为
3
T
3T
3T，比
F
G
S
M
−
A
T
\mathrm{FGSM-AT}
FGSM−AT大约慢
1.5
1.5
1.5倍。
为了平衡引入多步对抗样本的高训练开销，作者提出了一种基于多阶段优化的对抗训练方法，该方法在干净样本、单步对抗样本和多步对抗样本上逐阶段周期性地训练模型。
M
O
A
T
\mathrm{MOAT}
MOAT背后的直觉是每个阶段找到的解可以作为下一阶段的先验（即每个阶段优化的模型参数可以作为下一阶段的预训练模型参数），可以提高模型的泛化能力，降低整体训练开销。
在
M
O
A
T
\mathrm{MOAT}
MOAT的初始阶段，对干净样本的学习旨在提高模型的标准泛化能力，并且花费更少的训练开销。在标准泛化能力很强的模型基础上，在
M
O
A
T
\mathrm{MOAT}
MOAT测试的第二阶段，单步对抗样本的学习旨在用较少的反向传播的训练一个鲁棒模型。在
M
O
A
T
\mathrm{MOAT}
MOAT测试的第三阶段，利用多步对抗样本的学习用更多的反向传播的来防止模型出现过拟合的问题。通过这种方式，
M
O
A
T
\mathrm{MOAT}
MOAT将减少整体训练开销，同时避免整个训练过程中模型过拟合的现象，从而以更少的训练开销获得更健壮的模型。
如下算法所示，概述了
M
O
A
T
\mathrm{MOAT}
MOAT的实现细节。
扫一扫
8万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
