ImageNet-A est un ensemble de données introduit en 2019 par des chercheurs, dont Dan Hendrycks, Kevin Zhao et leurs collègues, pour servir de référence dans l'évaluation de la robustesse des modèles d'apprentissage automatique face à des exemples adversariaux naturels. Contrairement aux images adversariales générées par des perturbations synthétiques, ImageNet-A est composé de photographies réelles qui n'ont pas été intentionnellement modifiées mais qui sont mal classées par de nombreux modèles d'apprentissage profond standard. Par opposition à l'ImageNet original, qui contient 1 000 classes d'objets, ImageNet-A ne comprend que des images issues de 200 de ces classes, et l'ensemble de données a été élaboré avec un accent particulier sur les cas difficiles réalistes.
La motivation derrière ImageNet-A découle de l'observation que de nombreux modèles atteignent des scores quasi parfaits sur les ensembles de test standard mais échouent de manière spectaculaire sur des images qui ressemblent à des scènes typiques du monde quotidien. Les images d'ImageNet-A sont des photographies naturelles d'objets dans des contextes variés, incluant des angles inhabituels, du brouillard ou un éclairage nouveau, et se distinguent des images propres de l'ensemble de validation ImageNet. L'idée clé est que ces images ne sont pas adversariales au sens où elles contiendraient un bruit délibéré et imperceptible, mais elles révèlent un écart entre la performance des modèles en conditions de laboratoire et leur déploiement dans le monde réel.
Construction et caractéristiques
La création d'ImageNet-A a impliqué la collecte d'images sur le web, ensuite soigneusement filtrées pour éviter tout chevauchement avec les images des ensembles d'entraînement ou de validation d'ImageNet. Les conservateurs ont sélectionné des images visuellement reconnaissables par des évaluateurs humains mais qui confondaient systématiquement des modèles bien connus tels que ResNet et les architectures de style VGG. L'ensemble final contient plus de 7 500 images réparties sur 200 des 1 000 classes originales. Pour vérifier la difficulté, les auteurs ont rapporté qu'un modèle ResNet-50 pré-entraîné standard n'atteint qu'environ 0,1 % de précision top-1 sur ImageNet-A, en net contraste avec sa précision d'environ 76 % sur la validation ImageNet.
Le processus de curation était itératif : des images candidates initiales ont été collectées à partir de sources publiques, puis les prédictions des modèles ont été utilisées pour identifier celles avec une haute confiance dans une classe erronée. Des humains ont ensuite vérifié que chaque image appartenait clairement à une classe donnée et était correctement étiquetée. Cette approche avec intervention humaine a garanti une haute qualité des étiquettes, car les images ambiguës ou correctement classées par les modèles ont été éliminées.
Relation avec la robustesse adversarial
L'ensemble de données se situe à l'intersection de la robustesse en apprentissage automatique et de l'évaluation en intelligence artificielle. Il démontre que les changements de distribution présents dans les données naturelles peuvent être aussi difficiles pour les modèles que les minuscules perturbations des attaques adversariales synthétiques. Le terme « exemples adversariaux naturels » est utilisé pour souligner que ces images ne sont pas construites avec des méthodes d'optimisation, mais qu'elles déclenchent des échecs similaires dans les réseaux de neurones entraînés. Les observations issues d'ImageNet-A ont influencé la recherche ultérieure sur la robustesse, notamment le développement de références comme ImageNet-C (pour les corruptions) et ImageNet-R (pour les rendus).
Utilisation dans la recherche
ImageNet-A est rapidement devenu un point de contrôle standard pour évaluer la généralisation d'un modèle et sa capacité à gérer les changements de distribution naturels. Il a été utilisé dans l'évaluation de diverses architectures de modèles, y compris les réseaux résiduels, les transformeurs et les architectures à plus grande échelle plus récentes. Dans la communauté du apprentissage profond, il est courant de rapporter la performance sur ImageNet-A en parallèle de la précision sur l'ensemble de validation standard, afin d'identifier les modèles qui ne se contentent pas de surajuster aux images propres.
Au-delà de l'évaluation standard des modèles, l'ensemble de données sert de base pour étudier les causes de la mauvaise classification. Par exemple, il a été utilisé pour sonder comment les propriétés des techniques de augmentation de données affectent la performance hors distribution, et pour entraîner des modèles avec des stratégies de apprentissage par curriculum afin d'atténuer ces échecs. De plus, des études montrent que les modèles entraînés sur des ensembles de données plus vastes ou avec des méthodes plus auto-supervisées peuvent présenter une meilleure robustesse sur ImageNet-A, mais ne comblent toujours pas complètement l'écart en raison de la diversité de la variabilité naturelle.
Limites et critiques
Plusieurs problèmes pratiques existent avec ImageNet-A. L'ensemble de données est limité à 15,15, et il ne comprend que les classes qui ont été mal classées par les modèles antérieurs, ce qui pourrait créer un biais qui ne favorise guère les classifieurs entraînés avec d'autres approches de génération. De plus, le processus de curation, qui utilisait les prédictions des modèles, pourrait introduire un biais de sélection mettant en évidence les angles morts particuliers des modèles de l'ère 2019. Au début des années 2020, des modèles à grande échelle plus robustes ont amélioré les scores sur ImageNet-A, mais le défi demeure dans la flexibilité requise pour résoudre pleinement le changement de distribution. Les critiques notent également que l'ensemble de données est petit par rapport à d'autres références de robustesse, ce qui limite la puissance statistique des mesures de performance.
Héritage et impact
L'introduction d'ImageNet-A a contribué à une prise de conscience plus large dans la communauté de la nécessité d'évaluer les modèles au-delà des précisions de test standard. Il a été intégré dans plusieurs classements et est brièvement mentionné dans de nombreuses enquêtes plus vastes sur la robustesse des modèles. En particulier, l'approche consistant à collecter des exemples naturels que les humains étiquettent avec une pleine confiance mais sur lesquels les modèles échouent est devenue un modèle pour d'autres ensembles de données, comme ObjectNet (qui contrôle les rotations globales) et se concentre sur le monde tel qu'il est rencontré en pratique. L'ensemble de données reste un outil courant pour valider de nouvelles méthodes de machine learning qui prétendent une meilleure robustesse, et il continue d'être utilisé comme un essai préliminaire pour des approximations ultérieures de la généralisation hors distribution.
Un enseignement central est qu'ImageNet-A souligne la divergence observée entre la précision des modèles dans les contextes de référence et leur comportement fiable dans le monde réel. Il guide un dialogue académique significatif sur la manière de planifier les modèles de façon plus responsable lors du passage de la recherche à l'utilisation industrielle, ce qui résonne avec les objectifs de recherche de laboratoires comme BAIR (Berkeley AI Research) et Stanford AI Lab qui étudient la vulnérabilité adversarial.