訓練段階の防御（Training Stage Defense）

訓練段階では、目的関数・最適化アルゴリズム・学習パラダイムを含む訓練プロセス全体を制御できる。この段階の防御は (A) 敵対的サンプルに対する防御（敵対的訓練）と (B) バックドア攻撃に対する防御に大別される。

敵対的訓練（Adversarial Training）¶

基本的な定式化¶

敵対的訓練は、クリーンデータでの損失と敵対的サンプルでの損失を同時に最小化するmin-max最適化問題として定式化される。

• $\mathcal{L}_1$: クリーンデータ上の損失（標準精度の保証）

• $\mathcal{L}_2$: 敵対的ロバスト性の損失

• $\lambda$: ロバスト性と精度のトレードオフを調整するパラメータ

• $\mathcal{S}$: 摂動の制約集合（例: $\{\delta: \|\delta\|_\infty \leq \epsilon\}$）

内側の最大化は攻撃（最も損失が大きくなる摂動を見つける）、外側の最小化は防御（その攻撃に対してもロバストなパラメータを学習する）に対応する。

ロバスト汎化の向上（Enhancing Robust Generalization）¶

データ拡張ベース¶

訓練定式化の改善¶

損失ランドスケープベース¶

損失関数の平坦性がロバスト汎化に関係することを利用する。

サンプル重要度ベース¶

すべてのサンプルを等しく扱うのではなく、重要なサンプルに注力する。

攻撃戦略の改善¶

内側の最大化（攻撃）をより効果的にすることで、防御の質を向上させる。

訓練効率の向上¶

敵対的訓練は通常の訓練よりも計算コストが高い。この問題に対するアプローチ：

バックドア攻撃に対する防御¶

安全な集中訓練（Secure Centralized Training）¶

毒入れデータが混入した訓練データからクリーンなモデルを学習する。

安全な分散訓練（Secure Decentralized Training）¶

連合学習（Federated Learning）において、悪意あるクライアントによるバックドア攻撃を防ぐ。

グローバルモデルの更新は以下のように定式化される：

• $c_i$: 正規化重み

• $\eta_i$: 学習率

• $\Delta\boldsymbol{\theta}_i$: クライアント $i$ のモデル更新

• $\tau(\cdot)$: 更新に対する操作関数（防御者が制御）

悪意あるクライアントの検出¶

バックドア関連ニューロンの操作¶

学習率の調整¶

参考文献¶

• Wu et al. (2023). Defenses in Adversarial Machine Learning: A Survey. Section IV.

• Madry et al. (2018). Towards Deep Learning Models Resistant to Adversarial Attacks.

• Zhang et al. (2019). Theoretically Principled Trade-off between Robustness and Accuracy (TRADES).

• Wu et al. (2020). Adversarial Weight Perturbation Helps Robust Generalization.

• Shafahi et al. (2019). Adversarial Training for Free!