Состязательное обучение

Материал из MachineLearning.

Текущая версия

Статья написана с использованием LLM Claude Opus 4.8 и проверена участником Zarina Sibgatullina 19:11, 18 июля 2026 (MSD)

Состязательное обучение (adversarial training) — метод повышения устойчивости моделей машинного обучения к состязательным атакам, при котором модель обучают не на исходных объектах, а на объектах, намеренно искажённых наихудшим для неё образом. Метод остаётся наиболее надёжным из эмпирических подходов к защите (см. безопасность машинного обучения) и по существу сводит обучение к игре между обучаемой моделью и порождающим возмущения противником.

Идея состоит в том, чтобы на каждом шаге обучения находить возмущение, максимально увеличивающее ошибку модели, и подстраивать параметры именно под этот наихудший случай. Тем самым модель учится быть устойчивой не в среднем, а против целенаправленного воздействия.

Минимаксная постановка

Пусть — модель с параметрами , — функция потерь, а возмущение ограничено -шаром в норме . Состязательное обучение формулируется как задача минимакса (Madry и др., 2018):

Внутренняя задача (максимум) порождает наихудшее возмущение для текущих параметров; внешняя (минимум) подстраивает параметры под это возмущение. В отличие от обычной минимизации эмпирического риска, где усреднение идёт по чистым данным, здесь для каждого объекта берётся его наихудший сосед в -окрестности.

Точное решение внутреннего максимума, как правило, недостижимо, поэтому его приближают. Наиболее распространённое приближение — итерации проецируемого градиентного подъёма (PGD): на каждом шаге строится возмущение движением по знаку градиента с проекцией обратно в допустимый шар, после чего по полученному состязательному примеру делается шаг обновления параметров .

Алгоритм (PGD-обучение)

Один шаг обучения на батче объектов:

1. для каждого объекта построить состязательный пример , приближённо решив внутренний максимум (1) несколькими итерациями PGD;
2. вычислить потери на возмущённых объектах;
3. обновить параметры градиентным шагом по этим потерям.

Число внутренних итераций PGD задаёт компромисс между силой защиты и стоимостью обучения: больше итераций — сильнее устойчивость, но во столько же раз дороже каждый шаг.

Свойства и ограничения

• Вычислительная стоимость. Каждый шаг требует нескольких проходов для построения

возмущения, поэтому состязательное обучение в разы дороже обычного: PGD-обучение с 7 внутренними итерациями делает шаг примерно на порядок дороже, превращая для больших моделей часы обучения в сутки. Предложены ускоренные варианты (free, fast adversarial training), переиспользующие градиенты.

• Компромисс "точность–устойчивость". Повышение устойчивости обычно снижает точность на

чистых данных; этот компромисс исследуется теоретически и наблюдается на практике.

• Специфичность к угрозе. Модель, обученная против возмущений в норме

, не обязана быть устойчива к атакам в другой норме (, ) или к семантическим искажениям.

• Обобщение устойчивости. Разрыв между устойчивостью на обучающей и тестовой выборках

(robust overfitting) выражен сильнее, чем для обычной точности.

Связь с другими подходами

Состязательное обучение — эмпирическая защита: оно повышает устойчивость, но не даёт формальной гарантии. Ему противопоставляют сертифицированные методы (рандомизированное сглаживание, границы на основе выпуклых релаксаций), которые доказуемо гарантируют неизменность ответа в окрестности объекта, обычно ценой большей вычислительной сложности или более слабых достижимых порогов. На практике подходы дополняют друг друга.

Минимаксная постановка (1) роднит метод с робастной оптимизацией и с обучением в присутствии распределения, выбираемого противником (distributionally robust optimization).

См. также

• Состязательная атака
• Отравление обучающих данных
• Безопасность машинного обучения
• Робастная оптимизация

Литература

• Goodfellow I., Shlens J., Szegedy C. Explaining and Harnessing Adversarial Examples // ICLR. — 2015. — arXiv:1412.6572.
• Madry A. et al. Towards Deep Learning Models Resistant to Adversarial Attacks // ICLR. — 2018. — arXiv:1706.06083.
• Shafahi A. et al. Adversarial Training for Free! // NeurIPS. — 2019. — arXiv:1904.12843.
• Wong E., Rice L., Kolter J.Z. Fast is Better than Free: Revisiting Adversarial Training // ICLR. — 2020. — arXiv:2001.03994.
• Zhang H. et al. Theoretically Principled Trade-off between Robustness and Accuracy (TRADES) // ICML. — 2019. — arXiv:1901.08573.
• Rice L., Wong E., Kolter J.Z. Overfitting in Adversarially Robust Deep Learning // ICML. — 2020. — arXiv:2002.11569.