[论文解读] Cost-Sensitive Robustness against Adversarial Examples

Xiao Zhang, David Evans|arXiv (Cornell University)|Oct 22, 2018

Adversarial Robustness in Machine Learning被引用 13

一句话总结

本文提出成本敏感鲁棒性作为整体对抗鲁棒性的更实用替代方案，通过将类别特定成本纳入训练目标。通过在Wong & Kolter（2018）的鲁棒训练框架中引入成本矩阵，该方法显著降低了成本加权鲁棒误差，同时在MNIST和CIFAR10上保持了较高的标准准确率，展示了对高影响对抗变换的改进安全性。

ABSTRACT

Several recent works have developed methods for training classifiers that are certifiably robust against norm-bounded adversarial perturbations. These methods assume that all the adversarial transformations are equally important, which is seldom the case in real-world applications. We advocate for cost-sensitive robustness as the criteria for measuring the classifier's performance for tasks where some adversarial transformation are more important than others. We encode the potential harm of each adversarial transformation in a cost matrix, and propose a general objective function to adapt the robust training method of Wong & Kolter (2018) to optimize for cost-sensitive robustness. Our experiments on simple MNIST and CIFAR10 models with a variety of cost matrices show that the proposed approach can produce models with substantially reduced cost-sensitive robust error, while maintaining classification accuracy.

研究动机与目标

• 解决现有鲁棒训练方法对所有对抗扰动一视同仁的局限性，而不论其在现实世界中的影响。
• 使用编码每种变换潜在危害的成本矩阵，对不同对抗误分类的严重性进行建模。
• 开发一种可泛化的训练目标，以优化成本敏感鲁棒性而非整体鲁棒性。
• 在显著提升高成本对抗变换鲁棒性的同时，保持高标准分类准确率。

提出的方法

• 该方法通过在鲁棒训练目标中引入成本矩阵 $\bm{C}$，扩展了Wong & Kolter（2018）的认证鲁棒性框架。
• 其形式化了成本加权鲁棒误差，优先在训练损失中最小化高成本误分类。
• 使用修改后的鲁棒优化过程优化训练目标，其中成本矩阵影响所考虑的对抗扰动幅度。
• 该方法支持二值和实值成本矩阵，能够灵活建模不同威胁场景。
• 通过将成本敏感鲁棒性目标与干净数据上的标准交叉熵损失平衡，保持标准准确率。
• 与现有认证鲁棒训练流程兼容，可应用于标准图像分类模型。

实验结果

研究问题

• RQ1 能否以反映现实世界威胁优先级的方式改进对抗鲁棒性，而非对所有误分类一视同仁？
• RQ2 将成本矩阵引入训练目标如何影响标准准确率与鲁棒性之间的权衡？
• RQ3 所提出方法能否在保持可比标准准确率的同时，对高影响对抗变换实现更好性能？
• RQ4 该方法在不同成本矩阵结构（包括二值和实值成本）下的可扩展性如何？
• RQ5 在不同对抗强度下，成本敏感方法是否优于整体鲁棒性基线？

主要发现

• 在MNIST上，针对单个种子数字（9），成本敏感模型将成本敏感鲁棒误差从基线的1.20%降低至0.45%（实值成本矩阵下）。
• 在CIFAR10上，对于（狗，鸟）变换（成本为10），模型将成本敏感鲁棒误差从基线的28.90%降低至15.40%。
• 在CIFAR10的（鹿，动物）任务中，成本敏感模型实现了3.77%的成本敏感鲁棒误差，而基线为16.99%。
• 该方法在所有任务中均保持了近乎相同的标准分类准确率（≈31.80%），表明干净数据性能无退化。
• 随着对抗强度 $\epsilon$ 增加，成本敏感鲁棒性相对于基线的改进更加显著，尤其在高成本变换中。
• 热力图显示，成本敏感模型显著降低了高成本区域的鲁棒误差，特别是在从车辆到动物的变换中。