arXiv reaDer
敵対的ロバスト性のための活性化関数のパラメータ化
Parameterizing Activation Functions for Adversarial Robustness
ディープニューラルネットワークは、敵対的に摂動された入力に対して脆弱であることが知られています。一般的に使用される防御は敵対訓練であり、そのパフォーマンスはモデルの能力に影響されます。以前の研究では、モデルの幅と深さの変化がロバスト性に与える影響を調査しましたが、学習可能なパラメトリック活性化関数(PAF)を使用して容量を増やすことの影響は調査されていません。学習可能なPAFを使用すると、敵対者のトレーニングと組み合わせて堅牢性を向上させる方法を研究します。最初に質問します。堅牢性を向上させるために、パラメーターを活性化関数にどのように組み込む必要がありますか?これに対処するために、PAFを介したロバスト性に対するアクティベーション形状の直接的な影響を分析し、負の入力に対して正の出力を持ち、有限の曲率が高いアクティベーション形状がロバスト性を高めることができることを観察します。これらのプロパティを組み合わせて、パラメトリックシフトシグモイド線形ユニット(PSSiLU)と呼ばれる新しいPAFを作成します。次に、PAF(PReLU、PSoftplus、PSSiLUを含む)を敵対者のトレーニングと組み合わせて、堅牢なパフォーマンスを分析します。 PAFは、堅牢性に直接影響することがわかっている活性化形状のプロパティに向けて最適化されていることがわかります。さらに、ネットワークに学習可能なパラメーターを1〜2個だけ導入する一方で、スムーズなPAFはReLUよりも堅牢性を大幅に向上させることができることがわかりました。たとえば、追加の合成データを使用してCIFAR-10でトレーニングすると、PSSiLUは、ℓ_∞脅威モデルでResNet-18のReLUより4.54%、WRN-28-10のReLUより2.69%だけ堅牢な精度を向上させ、2つの追加パラメーターのみを追加します。ネットワークアーキテクチャに。 PSSiLU WRN-28-10モデルは、61.96%のAutoAttack精度を達成し、RobustBenchの最先端の堅牢な精度を向上させます(Croce et al。、2020)。
Deep neural networks are known to be vulnerable to adversarially perturbed inputs. A commonly used defense is adversarial training, whose performance is influenced by model capacity. While previous works have studied the impact of varying model width and depth on robustness, the impact of increasing capacity by using learnable parametric activation functions (PAFs) has not been studied. We study how using learnable PAFs can improve robustness in conjunction with adversarial training. We first ask the question: how should we incorporate parameters into activation functions to improve robustness? To address this, we analyze the direct impact of activation shape on robustness through PAFs and observe that activation shapes with positive outputs on negative inputs and with high finite curvature can increase robustness. We combine these properties to create a new PAF, which we call Parametric Shifted Sigmoidal Linear Unit (PSSiLU). We then combine PAFs (including PReLU, PSoftplus and PSSiLU) with adversarial training and analyze robust performance. We find that PAFs optimize towards activation shape properties found to directly affect robustness. Additionally, we find that while introducing only 1-2 learnable parameters into the network, smooth PAFs can significantly increase robustness over ReLU. For instance, when trained on CIFAR-10 with additional synthetic data, PSSiLU improves robust accuracy by 4.54% over ReLU on ResNet-18 and 2.69% over ReLU on WRN-28-10 in the ℓ_∞ threat model while adding only 2 additional parameters into the network architecture. The PSSiLU WRN-28-10 model achieves 61.96% AutoAttack accuracy, improving over the state-of-the-art robust accuracy on RobustBench (Croce et al., 2020).
updated: Mon Oct 11 2021 21:31:59 GMT+0000 (UTC)
published: Mon Oct 11 2021 21:31:59 GMT+0000 (UTC)
参考文献 (このサイトで利用可能なもの) / References (only if available on this site)
被参照文献 (このサイトで利用可能なものを新しい順に) / Citations (only if available on this site, in order of most recent)
Amazon.co.jpアソシエイト