理解对抗训练的鲁棒过拟合及其超越

鲁棒过拟合广泛存在于深度网络的对抗训练中。其确切的潜在原因仍未被完全理解。在此，我们通过比较\emph{非过拟合}（弱 adversary）与\emph{过拟合}（强 adversary）对抗训练的数据分布来探究鲁棒过拟合的成因，并观察到弱 adversary 生成的对抗数据分布主要包含小损失数据。然而，强 adversary 生成的对抗数据在大损失数据与小损失数据上分布更为多样。基于这些观察，我们进一步设计了数据消融对抗训练，并识别出一些不值得施加该对抗强度的少量小损失数据导致了强 adversary 模式下的鲁棒过拟合。为缓解此问题，我们提出\emph{最小损失约束对抗训练}（MLCAT）：在一个小批量中，我们如常学习大损失数据，并采用额外措施来增加小损失数据的损失。技术上，MLCAT 在数据变得易于学习时阻碍其拟合以防止鲁棒过拟合；哲学上，MLCAT 体现了变废为宝、充分利用每一条对抗数据的精神；算法上，我们设计了 MLCAT 的两种实现，大量实验表明 MLCAT 能够消除鲁棒过拟合并进一步提升对抗鲁棒性。