[论文解读] Blind Pre-Processing: A Robust Defense Method Against Adversarial Examples

Adnan Siraj Rakin, Zhezhi He+2 more|arXiv (Cornell University)|Feb 5, 2018

Adversarial Robustness in Machine Learning参考文献 22被引用 9

一句话总结

本文提出了一种名为盲预处理（Blind Pre-Processing, BP）的新防御方法，通过在输入进入分类器前应用隐藏的非线性变换（包含tanh、批量归一化和编码技术），显著提升了深度神经网络对对抗攻击的鲁棒性。该方法在MNIST上实现了98.65%的SOTA准确率，且无需对抗训练；在CIFAR-10和SVHN上面对强攻击也保持了优异性能。

ABSTRACT

Deep learning algorithms and networks are vulnerable to perturbed inputs which is known as the adversarial attack. Many defense methodologies have been investigated to defend against such adversarial attack. In this work, we propose a novel methodology to defend the existing powerful attack model. We for the first time introduce a new attacking scheme for the attacker and set a practical constraint for white box attack. Under this proposed attacking scheme, we present the best defense ever reported against some of the recent strong attacks. It consists of a set of nonlinear function to process the input data which will make it more robust over the adversarial attack. However, we make this processing layer completely hidden from the attacker. Blind pre-processing improves the white box attack accuracy of MNIST from 94.3\% to 98.7\%. Even with increasing defense when others defenses completely fail, blind pre-processing remains one of the strongest ever reported. Another strength of our defense is that it eliminates the need for adversarial training as it can significantly increase the MNIST accuracy without adversarial training as well. Additionally, blind pre-processing can also increase the inference accuracy in the face of a powerful attack on CIFAR-10 and SVHN data set as well without much sacrificing clean data accuracy.

研究动机与目标

• 开发一种防御机制，以在不依赖对抗训练的情况下增强对强白盒对抗攻击的鲁棒性。
• 解决现有防御方法在攻击强度增加时失效或在不同数据集间泛化能力不足的问题。
• 提出一种实用且可部署的防御方案，适用于自动驾驶等实际应用场景，通过隐藏预处理层使攻击者无法获取信息。
• 在保持对LS-PGA和PGD等强攻击下高鲁棒性的同时，提升干净数据的准确率，尤其针对离散数据。
• 证明在某些场景下，通过优化输入分布以增强鲁棒性，预处理可优于对抗训练。

提出的方法

• 应用一种不可逆的、隐藏的预处理流水线，包含tanh、批量归一化以及one-hot/温度计编码，对输入数据进行变换后再输入分类器。
• 设计预处理层对攻击者完全不可见，模拟硬件嵌入式防御层，以防止基于梯度的攻击。
• 使用一种改进的白盒攻击模型，假设攻击者可访问模型权重、梯度和训练过程，但无法访问盲预处理层。
• 利用像素强度分布的重新分布（在CIFAR-10频谱图中明显可见）以增加边缘过渡，使微小扰动效果降低。
• 优化预处理组件组合（如tanh+BN、滤波+BN）以最大化攻击数据准确率比（α），该指标平衡了干净准确率与鲁棒准确率。
• 引入对白盒攻击的实际约束，以反映真实部署场景，对抗模糊梯度防御中常见的过度乐观问题。

实验结果

研究问题

• RQ1 能否设计一种防御方法，在无需对抗训练的情况下，尤其在MNIST上实现高鲁棒性？
• RQ2 盲预处理如何改变输入像素强度的分布？这种改变是否有助于提升对抗鲁棒性？
• RQ3 在LS-PGA和离散数据上的投影梯度下降等日益强大的攻击下，该防御是否依然有效？
• RQ4 为何批量归一化在CIFAR-10上失效，尽管其在MNIST上表现良好？这如何影响预处理组件的选择？
• RQ5 攻击数据准确率比（α）在不同数据集和预处理组合下，与整体防御性能的相关性有多大？

主要发现

• 盲预处理在MNIST上实现了98.65%的测试准确率，且无需对抗训练，这是首次在训练过程中完全不使用对抗数据的情况下达成此性能。
• tanh与批量归一化组合的攻击数据准确率比最高（α = 49.8），表明其具有极强的鲁棒性，尽管在更大数据集上轻微降低了干净数据准确率。
• 在CIFAR-10和SVHN上，该防御保持了高鲁棒性，但需通过对抗训练才能将准确率恢复至86%和95%，表明干净准确率与鲁棒性之间存在权衡。
• 在LS-PGA和改进的PGD攻击下，该方法优于近期其他防御方法，展现出更强的抗扰动能力。
• 像素分布分析表明，tanh处理提高了标准差并分散了像素值，尤其增强了边缘过渡，从而降低了微小对抗扰动的影响。
• 由于攻击者无法逆向工程隐藏的预处理层，该防御在设计上对模糊梯度攻击依然有效，使基于梯度的攻击失效。