ImageNet-A é um conjunto de dados introduzido em 2019 por pesquisadores, incluindo Dan Hendrycks, Kevin Zhao e colegas, para servir como referência na avaliação da robustez de modelos de aprendizado de máquina em exemplos adversariais que ocorrem naturalmente. Diferentemente de imagens adversariais criadas por perturbações sintéticas, o ImageNet-A consiste em fotografias reais que não foram alteradas intencionalmente, mas que são classificadas incorretamente por muitos modelos padrão de aprendizado profundo. Em contraste com o ImageNet original, que contém 1.000 classes de objetos, o ImageNet-A inclui imagens de apenas 200 dessas classes, e o conjunto de dados foi curado com um foco específico em casos difíceis realistas.
A motivação por trás do ImageNet-A surgiu da observação de que muitos modelos alcançam pontuações quase perfeitas em conjuntos de teste padrão, mas falham dramaticamente em imagens que se assemelham a cenas típicas do mundo cotidiano. As imagens no ImageNet-A são fotografias naturais de objetos em contextos variados, incluindo ângulos incomuns, neblina ou iluminação nova, e são distintas das imagens limpas no conjunto de validação do ImageNet. A percepção central é que essas imagens não são adversariais no sentido de conter ruído deliberado e imperceptível, mas expõem uma lacuna entre o desempenho do modelo em condições de laboratório e em implantações no mundo real.
Construção e Características
A criação do ImageNet-A envolveu a coleta de imagens da web que foram então cuidadosamente filtradas para evitar sobreposição com imagens nos conjuntos de treinamento ou validação do ImageNet. Os curadores selecionaram imagens que eram visualmente reconhecíveis para avaliadores humanos, mas que consistentemente confundiam modelos bem conhecidos, como arquiteturas do tipo ResNet e VGG. O conjunto de dados final contém mais de 7.500 imagens em 200 das 1.000 classes originais. Para verificar a dificuldade, os autores relataram que um modelo ResNet-50 pré-treinado padrão alcança apenas cerca de 0,1% de precisão top-1 no ImageNet-A, em nítido contraste com sua precisão de aproximadamente 76% na validação do ImageNet.
O processo de curadoria foi iterativo: imagens candidatas iniciais foram coletadas de fontes públicas, e então previsões de modelos foram usadas para identificar aquelas com alta confiança em uma classe errada. Humanos então verificaram que cada imagem pertencia claramente a uma determinada classe e estava rotulada corretamente. Essa abordagem com humanos no circuito garantiu alta qualidade de rótulos, uma vez que imagens ambíguas ou que os modelos classificavam corretamente foram removidas.
Relação com a Robustez Adversarial
O conjunto de dados está na interseção da robustez de aprendizado de máquina e da avaliação de inteligência artificial. Ele demonstra que as mudanças de distribuição encontradas em dados naturais podem ser tão desafiadoras para os modelos quanto as pequenas perturbações em ataques adversariais sintéticos. O termo "exemplos adversariais naturais" é usado para enfatizar que essas imagens não são construídas com métodos de otimização, mas ainda assim desencadeiam falhas semelhantes em redes neurais treinadas. As observações do ImageNet-A influenciaram pesquisas subsequentes sobre robustez, incluindo o desenvolvimento de referências como ImageNet-C (para corrupções) e ImageNet-R (para representações).
Uso em Pesquisa
O ImageNet-A rapidamente se tornou um ponto de verificação padrão para avaliar a generalização de um modelo e sua capacidade de lidar com mudanças naturais de distribuição. Ele tem sido usado na avaliação de várias arquiteturas de modelos, incluindo redes residuais, transformadores e arquiteturas escaladas mais novas. Na comunidade de aprendizado profundo, é comum relatar o desempenho no ImageNet-A juntamente com a precisão no conjunto de validação padrão, como uma forma de identificar modelos que não estão simplesmente superajustados a imagens limpas.
Além da avaliação padrão de modelos, o conjunto de dados serve como base para estudar as causas de classificação incorreta. Por exemplo, ele tem sido usado para investigar como propriedades de técnicas de aumento de dados afetam o desempenho fora da distribuição e para treinar modelos com estratégias de aprendizado curricular para mitigar tais falhas. Além disso, estudos mostram que modelos treinados com conjuntos de dados maiores ou com métodos mais autossupervisionados podem apresentar melhor robustez no ImageNet-A, mas ainda não fecham completamente a lacuna devido à diversidade da variabilidade natural.
Limitações e Críticas
Vários problemas práticos existem com o ImageNet-A. O conjunto de dados é limitado a 15,15, e ele inclui apenas as classes que foram classificadas incorretamente por modelos anteriores, potencialmente criando um viés que dificilmente mantém classificadores treinados com outras abordagens de geração. Além disso, o processo de curadoria, que usou previsões de modelos, poderia trazer um viés de seleção que enfatiza os pontos cegos específicos de modelos da era de 2019. A partir do início dos anos 2020, modelos robustos em larga escala mais avançados melhoraram as pontuações no ImageNet-A, mas o desafio permanece na flexibilidade necessária para resolver completamente a mudança de distribuição. Críticas também observam que o conjunto de dados é pequeno em relação a outras referências de robustez, limitando o poder estatístico das medições de desempenho.
Legado e Impacto
A introdução do ImageNet-A contribuiu para uma conscientização mais ampla na comunidade sobre a necessidade de avaliar modelos além das precisões de teste padrão. Ele foi incorporado a vários rankings e é brevemente mencionado em muitos levantamentos maiores sobre robustez de modelos. Em particular, a abordagem de coletar exemplos naturais que humanos rotulam com total confiança, mas nos quais os modelos falham, tornou-se um modelo para outros conjuntos de dados, como ObjectNet (que controla rotações globais) e focando no mundo como ele é encontrado na prática. O conjunto de dados permanece uma ferramenta comum para validar novos métodos de aprendizado de máquina que afirmam melhor robustez, e continua sendo usado como um teste preliminar para aproximações posteriores da generalização fora da distribuição.
Uma conclusão central é que o ImageNet-A sublinha a divergência observada entre a precisão dos modelos em ambientes de referência e seu comportamento confiável no mundo real. Ele orienta um diálogo acadêmico significativo sobre como agendar modelos de forma mais responsável ao passar da pesquisa para o uso industrial, o que ressoa com objetivos de pesquisa de laboratórios como pesquisa de IA de Berkeley e laboratório de IA de Stanford que estão estudando vulnerabilidade adversarial.