REO：基于流式生成模型的分布外检测

《Neurocomputing》：REO: Out-of-distribution detection with flow-based generative models

　　潘佳璐|张宇峰|李克勤 中国湖南省长沙市南庐山路410082，湖南大学计算机科学与电子工程学院 摘要 基于流的生成模型能够提供精确的似然估计和可逆映射，因此很适合用于异常数据检测。然而，基于似然的检测方法往往不可靠，因为基于流的模型可能会给异常数据样本赋予与正常数据样本相当甚至更高的似然值，而且这些似然值很容易受到输入数据或潜在空间操作的影响。在本文中，我们提出了REO，这是一种基于扰动响应的、用于基于流的生成模型的异常数据检测框架。REO并非直接使用似然值、潜在密度或典型性得分等静态统计量，而是探究潜在表示对自适应扰动的响应情况。具体而言，我们在潜在空间中构建一种依赖于数据的扰动，其幅度由基于KL散度的分布偏差以及与高斯典型性的偏差共同决定。随后通过逆流将扰动后的表示映射回数据空间，以得到的感知重建差异作为异常数据评分。这种设计将潜在分布的差异转化为由扰动引发的重建响应，从而产生更具区分度的信号，且对数据操作的不敏感性更强。我们还引入了一种仅依赖正常数据样本的参数选择策略，无需异常数据验证样本或标签。在标准测试集上的大量实验表明，REO的平均AUROC值为94.5%，比现有的最先进基于流的异常数据检测方法高出4.1个百分点。此外，REO还对输入空间的操作以及针对基于似然检测方法的攻击具有很强的鲁棒性。引言 异常数据检测旨在区分来自与训练分布不同的分布的测试样本[5]、[25]、[27]、[39]、[48]、[52]、[57]。根据是否有标签，异常数据检测可分为有监督和无监督两类。在有监督场景中，每个数据点都对应一个类别标签，这有助于设计异常数据检测算法[1]、[39]。而无监督异常数据检测则完全依赖于从未知分布中抽取的一组独立同分布的样本，没有任何标签信息。本研究聚焦于无监督的逐点异常数据检测。迄今为止，异常数据检测已应用于多个领域[5]、[17]、[28]、[30]、[53]、[54]、[55]、[56]、[58]、[64]。近年来，基于流的模型作为一种强大的生成模型出现，能够合成图像、音频、视频等各类数据[2]、[10]、[18]、[44]、[60]。与GANs[13]和扩散模型[16]相比，基于流的模型更易于训练，还能为输入数据提供明确的似然估计。乍看之下，这一特性似乎表明基于流的模型很适合用于异常数据检测。然而，包括我们之前的研究[63]在内的多项最新研究[7]、[19]、[31]、[32]、[47]、[50]表明，基于流的模型[11]、[18]可能会给异常数据赋予比正常数据更高的似然值。例如，如图1所示，在CIFAR-10数据集上训练的Glow[18]模型可能会给SVHN样本赋予更高的似然值。在其他基于流的模型中，包括残差流[6]和带类别条件的Glow模型[63]中，也在多种数据集上观察到了这种反直觉现象[6]、[63]。此外，模型似然值还会受到输入数据操作的影响。例如，在基于CIFAR-10数据集训练的Glow模型下，对比度提高2.0倍的SVHN图像（SVHN-C(2.0)）的似然值与CIFAR-10训练集中的图像相似（见图1）。关于似然值可被操纵的更多示例可见之前的研究[63]。在我们的实验中，我们还发现多种现有的基于似然的异常数据检测方法[29]、[32]、[37]、[45]、[46]都对数据操作敏感。例如，基于模型似然的现有最先进基于流的异常数据检测方法GMM[37]在SVHN与CelebA32数据集对比任务中能取得100.0%的AUROC值。但当CelebA32图像的对比度降低到原来的0.08倍时，它的性能就会下降到仅55.2%的AUROC值（见第4节）。这些观察结果凸显了基于似然的异常数据检测方法的脆弱性，也为使用基于流的模型进行可靠的异常数据检测带来了巨大挑战。先前的研究已经探索了基于流的模型进行异常数据检测的替代方法。Nalisnick等人[32]从典型集的角度解释了这种异常的似然行为。对于高维分布而言，样本更有可能位于典型集内，而非概率密度最高的区域。基于这一观察，他们认为那些位于模型分布典型集之外的数据点可以被识别为异常数据。然而，当异常数据也位于典型集内时，比如在CelebA与CIFAR-10/100数据集对比时，这种方法就失效了。此外，它的性能也对异常数据的对比度操作敏感。为了解决这些难题，研究人员开始探索利用模型的其他特征或输出来进行异常数据检测。这些方法包括使用似然比[42]、输入复杂性[46]以及其他各种模型输出[29]、[37]。在我们之前的研究[63]中，我们不再直接使用基于似然的评分方式，而是依靠潜在表示的分布与先验分布之间的Kullback-Leibler（KL）散度来识别异常数据。尽管这些方法存在差异，但它们都有一个共同特点：都依赖于数据或潜在表示的静态统计量，比如似然值、复杂性指标或聚合后的潜在特征。这类静态统计量的一个根本局限性在于，它们可以被操纵而不改变数据的语义内容。例如，简单的变换（如对比度调整）就可以在保持视觉相似性的同时显著改变似然值[32]。在潜在空间中进行恶意操纵，也可以让异常数据样本与先验分布的典型集对齐[63]。因此，基于静态统计量的异常数据检测方法容易受到分布层面或样本层面的操纵影响。这些观察结果促使人们寻求超越静态统计量的异常数据检测方法。我们的核心思路是，虽然正常数据和异常数据在静态测量下可能看起来相似，但它们对用于探究数据分布结构的有序扰动会有不同的反应。这样的反应可能会揭示出一些更稳定的属性，这些属性不太会受到简单的似然匹配操作的直接影响。基于这一见解，我们提出了一种针对基于流的模型的异常数据检测框架，该框架用于衡量潜在表示对自适应扰动的响应。我们的方法源于两个关键观察：首先，异常数据的潜在表示与先验分布的偏差比正常数据的潜在表示更大，这一偏差可以通过KL散度来量化；其次，正常数据的潜在表示往往集中在先验分布的典型集附近，而异常数据的潜在表示则可能偏离这一区域。为了利用这些特性，我们在潜在空间中引入了一种自适应扰动机制，该机制的扰动幅度由两部分决定：一是基于KL散度的项，用于反映与先验分布的不一致性；二是基于范数的项，用于反映与典型集的偏差。之后，通过基于流的模型可逆的结构，将扰动后的潜在表示映射回数据空间。我们使用感知相似性指标来衡量原始输入与重建输入之间的差异，并将这种由扰动引发的重建误差作为异常数据评分。与那些依赖似然值、潜在密度或典型性得分等静态统计量的现有方法不同，我们的方法能够描述潜在表示对有序扰动的响应情况。这样的设计使得评分结果对本研究中所考虑的各种数据操作不那么敏感。我们的核心思路是，许多静态统计量只是总结了潜在空间中单个点的孤立属性，而这些属性往往很容易被操纵而不改变数据的语义内容。相比之下，扰动响应反映了样本周围表示的局部稳定性。在我们的框架下，要让一个异常数据样本看起来与正常数据相似，攻击者就需要在扰动作用下保持整个局部邻域的一致性，而不仅仅是匹配某个单一的统计量，如似然值。此外，通过可逆解码器将扰动后的表示映射回数据空间，正常数据与异常数据表示之间的差异会被放大为具有感知意义的重建差异。因此，我们的方法能够捕捉到那些无法通过单一静态统计量直接反映的结构差异，且在抵抗似然值操纵和潜在空间攻击方面具有更强的鲁棒性。总之，REO的创新之处不在于单独使用KL散度或典型性指标，而在于将这些潜在空间中的偏差转化为由扰动引发的重建响应。我们进行了大量实验来评估所提方法的有效性。实验结果表明，无论在何种测试场景下，我们的方法都能持续优于各种基线方法，在面对输入空间操作以及针对潜在分布的攻击时都能展现出更强的鲁棒性。本文的主要贡献如下：•我们提出了REO，这是一种基于扰动响应的、用于基于流的生成模型的异常数据检测方法，它通过扰动引发的重建差异来识别异常数据样本。•我们设计了一种由KL散度以及与高斯典型性的偏差共同引导的自适应潜在扰动机制，同时还提出了一种基于正常数据样本的参数选择策略。•大量实验表明，所提方法的性能优于现有的最先进基于流的异常数据检测方法，且对似然值操纵和潜在空间攻击具有很强的鲁棒性。本文的其余部分结构如下：第2节回顾相关研究；第3节详细介绍我们所提出的异常数据检测方法；第4节阐述实验设置与结果；第5节讨论该方法的其它相关方面；最后，第6节对全文进行总结。相关研究 基于深度学习的异常数据检测技术发展迅速[5]、[27]、[39]、[52]、[57]。本文重点研究的是使用基于流的生成模型进行的无监督异常数据检测。对于那些能够提供明确似然估计的深度生成模型来说，直接使用模型似然值作为评分标准来检测异常数据似乎是很直接的做法[41]、[53]。然而，多项研究表明，从基于流的模型获得的似然值并不能可靠地指示一个样本是否属于异常数据[32]。Choi等人……初步介绍 基于流的生成模型会构建从数据空间到潜在空间的微分同胚映射[10]、[11]、[18]、[40]。这类模型通常由一系列类似流的微分同胚映射组成。正向函数被称为编码器，而反向函数则被称为解码器。由于其形式明确，该模型的概率密度函数可以通过变量替换法则明确表达出来，其中是的雅可比矩阵，是绝对值，而则表示行列式。实验 我们通过实验来评估所提方法的有效性与鲁棒性。假设 我们的方法依赖于若干基本假设。本小节将探讨这些假设。正常数据表示的KL散度较小。基于流的模型在训练过程中会尽量使该散度最小化。但由于模型拟合不够理想，学到的正常数据表示分布可能会偏离先验的高斯分布。例如，在CIFAR-10数据集上训练的Glow模型无法生成高质量样本（见附录中的图8），这说明该散度并未被缩小到足够小的程度。结论 在本文中，我们提出了REO，这是一种基于扰动响应的、用于基于流的生成模型的新型异常数据检测方法。提出这种方法的前提是，我们观察到正常数据样本与异常数据样本对潜在空间扰动的反应存在差异。基于这一见解，我们设计了一种依赖于数据的扰动机制，并通过重建误差来量化由此产生的响应，该误差便作为异常数据评分。与那些主要依赖……的现有基于流的异常数据检测方法不同……CRediT作者贡献说明 潘佳璐：方法设计、研究实施、数据整理、概念构思。张宇峰：方法设计、研究实施、资金获取、正式分析、概念构思。李克勤：方法设计、研究实施。利益冲突声明 作者声明自己不存在任何可能影响本文研究结果的已知财务利益或个人关系。潘佳璐目前是中国湖南大学计算机科学与电子工程学院的博士研究生，她的研究兴趣包括人工智能和软件工程领域。