ディープ ラーニング モデルには、ランダム ラベルを使用してもトレーニング セット全体に適合する傾向があることがよく知られています。これには、すべてのトレーニング サンプルを記憶する必要があります。この論文では、敵対的に訓練された分類器の容量、収束、一般化、および特に堅牢なオーバーフィッティングのより深い理解を促進するために、敵対的トレーニング (AT) における記憶効果を調査します。最初に、深いネットワークが完全にランダムなラベルを持つトレーニング データの敵対的な例を記憶するのに十分な容量があることを示しますが、すべての AT アルゴリズムが極端な状況下で収束できるわけではありません。ランダム ラベルを使用した AT の研究は、AT の収束と一般化に関するさらなる分析の動機付けになります。一部の AT メソッドは勾配の不安定性の問題を抱えており、最近提案された複雑さの測定値では、ランダム ラベルでトレーニングされたモデルを考慮しても、ロバストな一般化を説明できないことがわかりました。さらに、AT での記憶の重大な欠点として、堅牢なオーバーフィッティングが発生する可能性があることを確認しました。次に、詳細な記憶分析に基づく新しい緩和アルゴリズムを提案します。さまざまなデータセットでの広範な実験により、提案された方法の有効性が検証されます。
It is well known that deep learning models have a propensity for fitting the entire training set even with random labels, which requires memorization of every training sample. In this paper, we investigate the memorization effect in adversarial training (AT) for promoting a deeper understanding of capacity, convergence, generalization, and especially robust overfitting of adversarially trained classifiers. We first demonstrate that deep networks have sufficient capacity to memorize adversarial examples of training data with completely random labels, but not all AT algorithms can converge under the extreme circumstance. Our study of AT with random labels motivates further analyses on the convergence and generalization of AT. We find that some AT methods suffer from a gradient instability issue, and the recently suggested complexity measures cannot explain robust generalization by considering models trained on random labels. Furthermore, we identify a significant drawback of memorization in AT that it could result in robust overfitting. We then propose a new mitigation algorithm motivated by detailed memorization analyses. Extensive experiments on various datasets validate the effectiveness of the proposed method.