Adversarial tanítás neurális hálózatokban

Átírás

1 , Faculty of Information Technology Adversarial tanítás neurális hálózatokban András Horváth Budapest,

2 Neurális hálózatok Számos helyen használhatóak Önvezető autók Alpha Go Arcfelismerés

3 Neurális hálózatok Felügyelt tanulás Cat 80% Cat

4 Neurális hálózatok Felügyelt tanulás Mire van szükség: Bemenet, kimenet párokra Cat

5 Neurális hálózatok Felügyelt tanulás Mire van szükség: Bemenet, kimenet párokra Neurális hálózatra Cat

6 Neurális hálózatok Felügyelt tanulás Mire van szükség: Bemenet, kimenet párokra Neurális hálózatra Cat 80% Cat

7 Neurális hálózatok Felügyelt tanulás Mire van szükség: Bemenet, kimenet párokra Neurális hálózatra Hibafüggvényre Cat 80% Cat

8 y x d y

9 Neurális hálózatok Példa: Generáljunk arcképeket

10 Neurális hálózatok Példa: Generáljunk arcképeket d

11 Neurális hálózatok Példa: Generáljunk arcképeket d L2

12 Hiba függvény megállapítása A neurális hálózatok megmutatták, hogy egy reprezentatív adathalmaz néha jobban leírja a problémát, mint egy matematikai leírás

13 Rosszul/nehezen definiálható problémák A mélytanulás a nehezen definiálható problémák esetében teljesít igazán jól Mi az az autó? Autó-e SUV, egy sportkocsi,egy kisbusz,egy kabrió?

14 Hiba függvény megállapítása A neurális hálózatok megmutatták, hogy egy reprezentatív adathalmaz néha jobban leírja a problémát, mint egy matematikai leírás De ezen esetekben is nehéz hibafüggvényt találni Lehet L1, L2 távolságot számolni képek között Mindegyik metrika független az adat struktúrájától

15 Hiba függvény megállapítása A neurális hálózatok megmutatták, hogy egy reprezentatív adathalmaz néha jobban leírja a problémát, mint egy matematikai leírás De ezen esetekben is nehéz hibafüggvényt találni Lehet L1, L2 távolságot számolni képek között Mindegyik metrika független az adat struktűrájától Használjunk neurális hálózatot a hibafüggvény megállapításához

16 Generative adversarial networks Egy rabló-pandúr játék két neurális hálózat között Ahelyett, hogy definiálnánk a hibát, a hálózat eldönti, hogy a megoldásunk mennyire jó

17 Generative adversarial networks Egy rabló-pandúr játék két neurális hálózat között Ahelyett, hogy definiálnánk a hibát, a hálózat eldönti, hogy a megoldásunk mennyire jó Diszkriminátor: Mintákat kap a tényleges adatból és a generált adatból is Célja,hogy eldöntse,hogy melyik adat melyik halmazból érkezett Generátor: Előállítja a mintákat, ez a halózat azon része, amire szükségünk van Célja,hogy olyan mintákat állítson elő, melyek átverik a diszkriminátort Figure by Chris Olah

18 Generative adversarial networks

19 Karras, Tero, et al. "Progressive growing of gans for improved quality, stability, and variation." arxiv preprint arxiv: (2017).

20 4K Portraits of Imaginary People by Mike Tyka

21 Problémák Konvergencia problémák Arjovsky, M., Chintala, S., & Bottou, L. (2017). Wasserstein gan. arxiv preprint arxiv: Miyato, T., Kataoka, T., Koyama, M., & Yoshida, Y. (2018). Spectral normalization for generative adversarial networks. arxiv preprint arxiv:

22 Mode collapse Arjovsky, M., Chintala, S., & Bottou, L. (2017). Wasserstein gan. arxiv preprint arxiv: Ghosh, A., Kulharia, V., Namboodiri, V., Torr, P. H., & Dokania, P. K. (2017). Multi-agent diverse generative adversarial networks. arxiv preprint arxiv: , 1(4).

23 Szuperrezolució A bemenetünk lehet egy alacsony felbontású kép, a kimenet pedig ugyanaz a kép nagyobb felbontásban, jobb minőségben (zaj nélkül vagy akár más modalitásban) 23

24 Szuperrezolució A bemenetünk lehet egy alacsony felbontású kép, a kimenet pedig ugyanaz a kép nagyobb felbontásban, jobb minőségben (zaj nélkül vagy akár más modalitásban) 24

25 Szuperrezolució A bemenetünk lehet egy alacsony felbontású kép, a kimenet pedig ugyanaz a kép nagyobb felbontásban, jobb minőségben (zaj nélkül vagy akár más modalitásban) 25

26 Szuperrezolució A bemenetünk lehet egy alacsony felbontású kép, a kimenet pedig ugyanaz a kép nagyobb felbontásban, jobb minőségben (zaj nélkül vagy akár más modalitásban) 26

27 Szuperrezolució Orvosi CT képeken CBCT images Generated microct images 27Medical Hatvani, Janka, et al. "Deep Learning-Based Super-Resolution Applied to Dental Computed Tomography." IEEE Transactions on Radiation and Plasma Sciences (2018).

28 Info GAN Diszkriminátor: Mintákat kap a tényleges adatból és a generált adatból is Vissza kell állítania a kódvektort Célja,hogy eldöntse,hogy melyik adat melyik halmazból érkezett Generátor: Előállítja a mintákat, ez a halózat azon része, amire szükségünk van Valamint a egy kódvektort, amit bele kell kódolnia a generált adatba Célja,hogy olyan mintákat állítson elő, melyek átverik a diszkriminátort Figure by Chris Olah

29 Info GAN Diszkrét kódvektorok (0,1,2...9) Figure by Chris Olah

30 Info GAN Folytonos kódvektorok [0,1] Figure by Chris Olah

31 Adat generálással az adat belső struktúrája megérthető Berthelot et al.

32 Adversarial Samples for Neural Networks Olyanok, mint az optikai illuziók az emberi látórendszer számára Speciálisan szerkesztett bemenetek, amik a tanítóhalmazban nincsenek benne

33 Adversarial attacks Egy komplex hálózatban nagyon sok paraméteret optimalizálunk De a bemenetünk még nagyobb dimenziós A hálózat jól működik a tényleges bementere, de nem fedtünk le minden lehetséges bemenetet

34 Adversarial attacks Egy komplex hálózatban nagyon sok paraméteret optimalizálun De a bemenetünk még nagyobb dimenziós A hálózat jól működik a tényleges bementere, de nem fedtünk le minden lehetséges bemenetet Lesznek olyan pontok a bemeneti térben, amik nincsenek lefedve

35 Adversarial noise Van egy jól működő hálózatunk: Panda [Goodfellow, I. J., Shlens, J., & Szegedy, C. (2014). Explaining and harnessing adversarial examples. arxiv preprint arxiv:

36 Adversarial noise Mit kellen a bementhez adnom, hogy egy másik kimenetet kapjak:??? Az additív zajt ugyanúgy (pl SGD-vel) optimalizáljuk Panda Gibbon [Goodfellow, I. J., Shlens, J., & Szegedy, C. (2014). Explaining and harnessing adversarial examples. arxiv preprint arxiv:

37 Adversarial noise Speciális alacsony intenzitású zaj: A két kép az emberi észlelés számára azonos Panda Gibbon [Goodfellow, I. J., Shlens, J., & Szegedy, C. (2014). Explaining and harnessing adversarial examples. arxiv preprint arxiv:

38 Adversarial noise Ismerve egy hálózatot (hozzáférünk a gradienseihez) generálhatunk olyan mintákat (amik nincsenek a train halmazban), amkire a hálózat rossz választ ad

39 Adversarial noise a gyakorlatban nem működik Egy valós zaj szerencsére tönkre teszi ezt a speciális bemenetet = + Real life distortion Real life distortion + = Jiajun Lu, Hussein Sibai, Evan Fabry, and David Forsyth. No need to worry about adversarial examples in object detection in autonomous vehicles URL abs/ g Ismerve egy hálózatot (hozzáférünk a gradienseihez) generálhatunk olyan mintákat (amik nincsenek a train halmazban), amkire a hálózat rossz választ ad

40 Matrica alapú adversarial attacks Nagy intenzitású, de kis területre koncentrált támadások: ( k l C d =N I+ St i ( x i,y i,wi,h i ) + St j ( x j,y j,w j,h j ) i=1 j=1 ) A paraméterek a matricák poziciói és méretei Eykholt, K., Evtimov, I., Fernandes, E., Li, B., Song, D., Kohno, T.,... & Tramer, F. (2017). Note on Attacking Object Detectors with Adversarial Stickers. arxiv preprint arxiv:

41 Sticker based adversarial attacks Nagy intenzitású, de kis területre koncentrált támadások: ( k l C d =N I+ St i ( x i,y i,wi,h i ) + St j ( x j,y j,w j,h j ) i=1 j=1 ) A paraméterek a matricák poziciói és méretei Ezek a támadások kellően robosztusak ahhoz, hogy valós applikációkban is használjuk őket Nem szükséges hozzájuk a hálózat ismerete (elég a hálózat válasza) Evtimov, I., Eykholt, K., Fernandes, E., Kohno, T., Li, B., Prakash, A.,... & Song, D. (2017). Robust physical-world attacks on machine learning models. arxiv preprint arxiv:

42 Sticker based adversarial attacks Evtimov, I., Eykholt, K., Fernandes, E., Kohno, T., Li, B., Prakash, A.,... & Song, D. (2017). Robust physical-world attacks on machine learning models. arxiv preprint arxiv:

43 Hálózat döntésének azonosítása Kitakarással azonosíthtjuk, hogy a bemenet egy része mennyire vesz részt a döntésben Zeiler, M. D., & Fergus, R. (2014, September). Visualizing and understanding convolutional networks. In European conference on computer vision (pp ). Springer, Cham.

44 Hálózat döntésének azonosítása Kitakarással azonosíthtjuk, hogy a bemenet egy része mennyire vesz részt a döntésben Meglehetősen számításigényes Backward lépéssel készíthetnük egy saliency map-et a fontos pixelek-ről Zeiler, M. D., & Fergus, R. (2014, September). Visualizing and understanding convolutional networks. In European conference on computer vision (pp ). Springer, Cham.

45 Konzisztencia alapú detekció Eredeti kimenet: Stop Sign Letakart kimenet: Stop Sign Kismértékű változás Horváth András, Csanád Egervári: Detection of sticker based adversarial attacks, ICDIP 2018

46 Konzisztencia alapú detekció Eredeti kimenet: Stop Sign Letakart kimenet: Speed Limit Sign Jelentős változás, inkonzisztens detekció Horváth András, Csanád Egervári: Detection of sticker based adversarial attacks, ICDIP 2018

47 Konzisztencia alapú detekció Más adathalmazokon is hasonlóan hanszálható a módszer

48 Nemlinearitások Sigmoid ReLU ReLU a leggyakrabban használt és általában legjobban teljesítő hálózat

49 Regularizáció Regularizáció a súlyokat kontrollálja: Egy neuron aktovációja a bemenet és a súlyok szorzata Attól, hogy a súlyok eloszlása megfelelő, az aktivációk eloszlása még tetszőleges lehet

50 Háló aktivitások Egy hálózat megtanulhatja, hogy autók detekciójához fontosak a kerek minták

51 Háló aktivitások Egy hálózat megtanulhatja, hogy autók detekciójához fontosak a kerek minták A hálózatunkban lehetnek olyan minták, amin egy-egy feature rendkívül felülreprezentált Egy korlátos válasz a neuronok esetében sokat segíthet a tanítás során

52 Aktivációk egy tanítás során CIFAR10-n batch normalizációt használva

53 Feature-ök megváltozása matrica alapú támadásoknál A matrica alapú támadások nagy intenzitást váltanak ki kis területen Aktivációk az eredeti bemeneten Aktivációk a támadott mintán

54 Korlátos nemlinearitás tanulható korláttal Bounded leaky Relu

55 GAN A: Zebra B: Ló Image credit:

56 Cycle Consistent GAN A: Zebra B: Ló Image credit:

57 Cycle Consistent GAN

58 Cycle Consistent GAN

59 Original Transformed

60 Cycle Consistent GAN

61 Cycle Consistent GAN

62 Adat annotálás Sokszor elég nehéz adatot gyűjteni Felcimkézett adatot pedig még nehezebb

63 Adat annotálás Sokszor elég nehéz adatot gyűjteni Felcimkézett adatot pedig még nehezebb Az emberek néhány mintából és egész jól tanulnak meg általános jellemzőket

64 Adat annotálás Sokszor elég nehéz adatot gyűjteni Felcimkézett adatot pedig még nehezebb Az emberek néhány mintából és egész jól tanulnak meg általános jellemzőket különböző domain-ek közti kapcsolat

65 Szimulációk Szimulált adat előállítása általában nagyságrendekkel egyszerűbb, mint valós adat gyűjtése, cimkézése Playing for benchmarks, Vladlev Klotun et Al, 65

66 Szimulációk Szimulált adat előállítása általában nagyságrendekkel egyszerűbb, mint valós adat gyűjtése, cimkézése A szimulált adat (még,ha nagyon jó minőségű is), sosem lesz olyan, mint a valós Playing for benchmarks, Vladlev Klotun et Al, 66

67 Domain adaptation Tegyük fel, hogy van kismennyiségű, felcimkézetlen adatunk: cél-domain Cél domain 67

68 Domain adaptation Tegyük fel, hogy van kismennyiségű, felcimkézetlen adatunk: cél-domain Van egy ehhez hasonló, szimulált adathalmazunk nagyszámú, jelölt adattal Cél domain Forrás domain 68

69 Domain Adversarial Neural Networks Vegyünk egy hagyományos osztályozót (Feature extractor + Label predictor) 69

70 Domain Adversarial Neural Networks Vegyünk egy hagyományos osztályozót (Feature extractor + Label predictor) Betanítjuk a szimulált domain-en...s egész jól működik 70

71 Domain Adversarial Neural Networks Vegyünk egy hagyományos osztályozót (Feature extractor + Label predictor) Kipróbáljuk a valós adaton. 71

72 Domain Adversarial Neural Networks Vegyünk egy hagyományos osztályozót (Feature extractor + Label predictor) Kipróbáljuk a valós adaton.borzalmasan teljesít 72

73 Domain adaptation A két domain a megtanult reprezentációban akár teljesen eltérő is lehet source domain target domain 73

74 Domain adaptation A két domain a megtanult reprezentációban akár teljesen eltérő is lehet source domain target domain 74

75 Domain Adversarial neural Networks Vegyünk egy hagyományos osztályozót (Feature extractor + Label predictor) Adjunk hozzá egy osztályozót domain classifier, aminek azt kell eldöntenie, hogy a tanító adat melyik domain-ből jött A Feature extractor-t és a domain classifier-t egymás ellen taníthatjuk Ajakan, Hana, et al. "Domain-Adversarial Neural Networks." arxiv: Machine Learning (2014). 75

76 Domain Adversarial neural Networks Vegyünk egy hagyományos osztályozót (Feature extractor + Label predictor) Adjunk hozzá egy osztályozót domain classifier, aminek azt kell eldöntenie, hogy a tanító adat melyik domain-ből jött A Feature extractor-t és a domain classifier-t egymás ellen taníthatjuk 1. lépés: betanítjuk az osztályozót a forrás domain-en Kimenet: Auto Nem auto Ajakan, Hana, et al. "Domain-Adversarial Neural Networks." arxiv: Machine Learning (2014). 76

77 Domain Adversarial neural Networks Vegyünk egy hagyományos osztályozót (Feature extractor + Label predictor) Adjunk hozzá egy osztályozót domain classifier, aminek azt kell eldöntenie, hogy a tanító adat melyik domain-ből jött A Feature extractor-t és a domain classifier-t egymás ellen taníthatjuk 2. lépés:valós és szimulált képeken tanítjuk a domain classifier-t Kimenet: Source domain Target Domain Ajakan, Hana, et al. "Domain-Adversarial Neural Networks." arxiv: Machine Learning (2014). 77

78 CyCADA simulations CyCADA: Cycle-Consistent Adversarial Domain Adaptation Judy Hoffman, Eric Tzeng, Taesung Park, Jun-Yan Zhu, Phillip Isola, Kate Saenko, Alexei A. Efros, Trevor Darrell 78

79 Semi parametric image synthesis Kép generálás egy megadott feltétel alapján Qi, X., Chen, Q., Jia, J., & Koltun, V. (2018). Semi-parametric Image Synthesis. arxiv preprint 79