Состязательное обучение

Материал из MachineLearning.

Перейти к: навигация, поиск
Статья написана с использованием LLM Claude Opus 4.8 и проверена участником Zarina Sibgatullina 19:11, 18 июля 2026 (MSD)


Состязательное обучение (adversarial training) — метод повышения устойчивости моделей машинного обучения к состязательным атакам, при котором модель обучают не на исходных объектах, а на объектах, намеренно искажённых наихудшим для неё образом. Метод остаётся наиболее надёжным из эмпирических подходов к защите (см. безопасность машинного обучения) и по существу сводит обучение к игре между обучаемой моделью и порождающим возмущения противником.

Идея состоит в том, чтобы на каждом шаге обучения находить возмущение, максимально увеличивающее ошибку модели, и подстраивать параметры именно под этот наихудший случай. Тем самым модель учится быть устойчивой не в среднем, а против целенаправленного воздействия.

Содержание

Минимаксная постановка

Пусть f_\theta — модель с параметрами \theta, \mathcal{L} — функция потерь, а возмущение \delta ограничено \varepsilon-шаром в норме \|\cdot\|. Состязательное обучение формулируется как задача минимакса (Madry и др., 2018):

(1)
\min_{\theta}\; \mathbb{E}_{(x,y)\sim P}\;\Big[\max_{\|\delta\|\le\varepsilon}\; \mathcal{L}\big(f_\theta(x+\delta),\, y\big)\Big].

Внутренняя задача (максимум) порождает наихудшее возмущение для текущих параметров; внешняя (минимум) подстраивает параметры под это возмущение. В отличие от обычной минимизации эмпирического риска, где усреднение идёт по чистым данным, здесь для каждого объекта берётся его наихудший сосед в \varepsilon-окрестности.

Точное решение внутреннего максимума, как правило, недостижимо, поэтому его приближают. Наиболее распространённое приближение — итерации проецируемого градиентного подъёма (PGD): на каждом шаге строится возмущение движением по знаку градиента с проекцией обратно в допустимый шар, после чего по полученному состязательному примеру делается шаг обновления параметров \theta.

Алгоритм (PGD-обучение)

Один шаг обучения на батче объектов:

  1. для каждого объекта x построить состязательный пример x_{\text{adv}} = x + \delta, приближённо решив внутренний максимум (1) несколькими итерациями PGD;
  2. вычислить потери \mathcal{L}(f_\theta(x_{\text{adv}}), y) на возмущённых объектах;
  3. обновить параметры \theta градиентным шагом по этим потерям.

Число внутренних итераций PGD задаёт компромисс между силой защиты и стоимостью обучения: больше итераций — сильнее устойчивость, но во столько же раз дороже каждый шаг.

Свойства и ограничения

  • Вычислительная стоимость. Каждый шаг требует нескольких проходов для построения

возмущения, поэтому состязательное обучение в разы дороже обычного. Предложены ускоренные варианты (free, fast adversarial training), переиспользующие градиенты.

  • Компромисс "точность–устойчивость". Повышение устойчивости обычно снижает точность на

чистых данных; этот компромисс исследуется теоретически и наблюдается на практике.

  • Специфичность к угрозе. Модель, обученная против возмущений в норме

\ell_\infty, не обязана быть устойчива к атакам в другой норме (\ell_2, \ell_0) или к семантическим искажениям.

  • Обобщение устойчивости. Разрыв между устойчивостью на обучающей и тестовой выборках

(robust overfitting) выражен сильнее, чем для обычной точности.

Практический ориентир: PGD-обучение с 7 внутренними итерациями делает каждый шаг приблизительно на порядок дороже обычного, что для больших моделей превращает часы обучения в сутки. Именно эта стоимость мотивировала ускоренные варианты и остаётся основным препятствием для повсеместного применения метода.

Связь с другими подходами

Состязательное обучение — эмпирическая защита: оно повышает устойчивость, но не даёт формальной гарантии. Ему противопоставляют сертифицированные методы (рандомизированное сглаживание, границы на основе выпуклых релаксаций), которые доказуемо гарантируют неизменность ответа в окрестности объекта, обычно ценой большей вычислительной сложности или более слабых достижимых порогов. На практике подходы дополняют друг друга.

Минимаксная постановка (1) роднит метод с робастной оптимизацией и с обучением в присутствии распределения, выбираемого противником (distributionally robust optimization).

См. также

Литература

  • Goodfellow I., Shlens J., Szegedy C. Explaining and Harnessing Adversarial Examples // ICLR. — 2015. — arXiv:1412.6572.
  • Madry A. et al. Towards Deep Learning Models Resistant to Adversarial Attacks // ICLR. — 2018. — arXiv:1706.06083.
  • Shafahi A. et al. Adversarial Training for Free! // NeurIPS. — 2019. — arXiv:1904.12843.
  • Wong E., Rice L., Kolter J.Z. Fast is Better than Free: Revisiting Adversarial Training // ICLR. — 2020. — arXiv:2001.03994.
  • Zhang H. et al. Theoretically Principled Trade-off between Robustness and Accuracy (TRADES) // ICML. — 2019. — arXiv:1901.08573.
  • Rice L., Wong E., Kolter J.Z. Overfitting in Adversarially Robust Deep Learning // ICML. — 2020. — arXiv:2002.11569.
Источник — «http://machinelearning.ru/wiki/index.php?title=%D0%A1%D0%BE%D1%81%D1%82%D1%8F%D0%B7%D0%B0%D1%82%D0%B5%D0%BB%D1%8C%D0%BD%D0%BE%D0%B5_%D0%BE%D0%B1%D1%83%D1%87%D0%B5%D0%BD%D0%B8%D0%B5»