[论文解读] Dimensionality Reduction as a Defense against Evasion Attacks on Machine Learning Classifiers.

Arjun Nitin Bhagoji, Daniel Cullina+1 more|arXiv (Cornell University)|Apr 9, 2017

Adversarial Robustness in Machine Learning被引用 105

一句话总结

本文提出使用主成分分析（PCA）进行降维，作为抵御机器学习分类器逃避攻击的防御方法。通过在分类前降低输入数据的维度，该方法提高了攻击者成功的计算成本，从而在多种模型和应用场景（如图像分类和恶意软件检测）中提升了鲁棒性。

ABSTRACT

We propose the use of dimensionality reduction as a defense against evasion attacks on ML classifiers. We present and investigate a strategy for incorporating dimensionality reduction via Principal Component Analysis to enhance the resilience of machine learning, targeting both the classification and the training phase. We empirically evaluate and demonstrate the feasibility of dimensionality reduction of data as a defense mechanism against evasion attacks using multiple real-world datasets. Our key findings are that the defenses are (i) effective against strategic evasion attacks in the literature, increasing the resources required by an adversary for a successful attack by a factor of about two, (ii) applicable across a range of ML classifiers, including Support Vector Machines and Deep Neural Networks, and (iii) generalizable to multiple application domains, including image classification, malware classification, and human activity classification.

研究动机与目标

• 探究降维是否可作为机器学习模型应对策略性逃避攻击的可行防御机制。
• 评估PCA在提高攻击者构造成功逃避攻击难度和资源需求方面的有效性。
• 评估该防御方法在不同机器学习分类器（包括SVM和深度神经网络）中的泛化能力。
• 测试该防御方法在图像分类、恶意软件检测和人体活动识别等多样化现实应用场景中的适用性。
• 确定该防御方法在提升对逃避攻击的抵抗能力的同时，是否保持了原始模型的性能。

提出的方法

• 在将输入数据送入机器学习分类器之前，应用主成分分析（PCA）以降低其维度。
• 在分类流程的训练和推理阶段均集成PCA，以确保降维的一致性。
• 利用PCA将高维输入数据投影到低维潜在空间，同时保留最具判别性的特征。
• 在保持分类器决策边界的同时，使其对逃避攻击中使用的微小、有针对性的扰动更具抵抗力。
• 通过测量对抗性攻击成功所需成本的增加来评估防御效果，特别是扰动幅度和搜索努力。
• 在多个数据集和分类器上应用该防御方法，以评估其鲁棒性和迁移能力。

实验结果

研究问题

• RQ1 通过PCA进行降维是否能有效提高机器学习分类器逃避攻击的成本？
• RQ2 该防御方法在不同类型的分类器（如SVM和深度神经网络）上的表现如何？
• RQ3 该防御方法在图像、恶意软件和活动分类等多样化应用领域中是否具有泛化能力？
• RQ4 该防御方法在多大程度上保持了原始分类器的准确率和性能？
• RQ5 该防御方法如何影响成功逃避攻击所需的最小扰动大小？

主要发现

• 基于PCA的防御使攻击者成功发动逃避攻击所需资源提高了约两倍。
• 该防御对文献中报道的策略性逃避攻击均有效，表现出在多种攻击场景下的鲁棒性。
• 该防御适用于广泛的机器学习分类器，包括SVM等传统模型以及深度神经网络。
• 该防御在图像分类、恶意软件检测和人体活动识别等不同应用领域中均表现出良好的泛化能力。
• 该方法在显著提升对逃避攻击的抵抗能力的同时，保持了高分类器性能。
• 通过PCA进行降维是一种轻量级、可扩展且有效的防御机制，无需重新训练或修改网络架构。