[论文解读] Searching for a Search Method: Benchmarking Search Algorithms for Generating NLP Adversarial Examples

Jin Yong Yoo, John X. Morris+2 more|arXiv (Cornell University)|Sep 9, 2020

Adversarial Robustness in Machine Learning参考文献 29被引用 10

一句话总结

本文在保持搜索空间和查询预算恒定的条件下，对六种黑箱搜索算法生成自然语言处理对抗样本的性能进行了基准测试，旨在隔离算法性能的影响。研究发现，束搜索（beam search）和粒子群优化（particle swarm optimization, PSO）在攻击成功率方面表现最佳；而采用词重要性排序的贪心搜索在时间或输入长度受限时，提供了速度与性能的最佳平衡。

ABSTRACT

We study the behavior of several black-box search algorithms used for generating adversarial examples for natural language processing (NLP) tasks. We perform a fine-grained analysis of three elements relevant to search: search algorithm, search space, and search budget. When new search algorithms are proposed in past work, the attack search space is often modified alongside the search algorithm. Without ablation studies benchmarking the search algorithm change with the search space held constant, one cannot tell if an increase in attack success rate is a result of an improved search algorithm or a less restrictive search space. Additionally, many previous studies fail to properly consider the search algorithms' run-time cost, which is essential for downstream tasks like adversarial training. Our experiments provide a reproducible benchmark of search algorithms across a variety of search spaces and query budgets to guide future research in adversarial NLP. Based on our experiments, we recommend greedy attacks with word importance ranking when under a time constraint or attacking long inputs, and either beam search or particle swarm optimization otherwise. Code implementation shared via https://github.com/QData/TextAttack-Search-Benchmark

研究动机与目标

• 在不考虑搜索空间或预算变化的前提下，隔离并评估搜索算法对自然语言处理对抗攻击成功率的影响。
• 解决先前研究中缺乏可复现基准的问题，即搜索算法的改进常与搜索空间或约束条件的同步变化混杂在一起。
• 不仅评估攻击成功率，还评估运行时成本和扰动质量，这些因素对对抗训练等下游应用至关重要。
• 在多个数据集、模型和配置下提供标准化、可复现的基准，以指导未来对抗性自然语言处理研究。
• 评估不同搜索算法在性能、效率和扰动质量之间的实际权衡。

提出的方法

• 本研究评估了六种搜索算法：基于词重要性排序的贪心搜索（WIR）、束搜索（b=8）、粒子群优化（PSO），以及使用UNK、DEL和RAND词替换策略的变体。
• 所有算法均在由转换类型（如同义词替换）和语言约束（如语义相似度、语法正确性）定义的相同搜索空间下进行测试。
• 实验在三个数据集（IMDB、SNLI、MNLI）上使用BERT-base和微调后的LSTM模型进行，测量攻击成功率、查询次数和扰动质量。
• 通过语义相似度（USE）和困惑度评估扰动质量，以衡量语言自然性和流畅性。
• 基准测试通过公开的GitHub仓库实现并共享，以确保未来研究的可复现性和标准化。
• 通过固定搜索空间并仅改变算法和查询预算，进行消融研究以隔离算法的影响。

实验结果

研究问题

• RQ1 当搜索空间和查询预算保持不变时，不同搜索算法在攻击成功率上的表现如何比较？
• RQ2 不同搜索算法在攻击成功率与计算成本（查询次数）之间的权衡关系如何？
• RQ3 输入长度如何影响各种搜索算法的性能和效率？
• RQ4 不同词重要性排序策略（如PWWS、UNK、DEL）在成功率和查询效率方面的表现如何比较？
• RQ5 搜索算法的选择对对抗样本质量的影响如何？质量通过语义相似度和困惑度衡量。

主要发现

• 束搜索和粒子群优化（PSO）在所有数据集和搜索空间中均实现了最高的攻击成功率，其在成功率和鲁棒性方面均优于其他算法。
• 采用词重要性排序（WIR）的贪心搜索在速度与性能之间提供了最佳平衡，尤其在时间受限或处理长输入时表现更优。
• 尽管PWWS方法查询成本较高，但其性能并未优于更简单的贪心方法，且在成功率和效率方面均逊于束搜索和PSO。
• 遗传算法在15种场景中的11种里，均以更高的查询成本获得更低的成功率，始终落后于更简单的束搜索（b=8）。
• 束搜索生成的对抗样本中词扰动比例最低，表现出更高的语义相似度（USE）和更低的困惑度，表明其扰动质量更优。
• UNK和DEL词替换方法虽因逐词重要性查询而较慢，但在除最小查询预算外的所有情况下均优于RAND方法，证实了词序在搜索中的重要性。