[论文解读] Second-Order Provable Defenses against Adversarial Attacks

Sahil Singla, Soheil Feizi|arXiv (Cornell University)|Jun 1, 2020

Adversarial Robustness in Machine Learning参考文献 33被引用 7

一句话总结

该论文提出了基于曲率的鲁棒性证书（CRC）和基于曲率的鲁棒训练（CRT），利用二阶信息（Hessian特征值界）计算在 $\ell_2$-有界对抗攻击下深度神经网络的高效、紧致的鲁棒性证书。通过在训练过程中正则化网络的曲率，CRT 实现了最先进的认证鲁棒准确率——在 2、3 和 4 层 MNIST 网络上分别达到 69.79%、57.78% 和 53.19%，显著优于基于 IBP 的方法。

ABSTRACT

A robustness certificate is the minimum distance of a given input to the decision boundary of the classifier (or its lower bound). For {\it any} input perturbations with a magnitude smaller than the certificate value, the classification output will provably remain unchanged. Exactly computing the robustness certificates for neural networks is difficult since it requires solving a non-convex optimization. In this paper, we provide computationally-efficient robustness certificates for neural networks with differentiable activation functions in two steps. First, we show that if the eigenvalues of the Hessian of the network are bounded, we can compute a robustness certificate in the $l_2$ norm efficiently using convex optimization. Second, we derive a computationally-efficient differentiable upper bound on the curvature of a deep network. We also use the curvature bound as a regularization term during the training of the network to boost its certified robustness. Putting these results together leads to our proposed {\bf C}urvature-based {\bf R}obustness {\bf C}ertificate (CRC) and {\bf C}urvature-based {\bf R}obust {\bf T}raining (CRT). Our numerical results show that CRT leads to significantly higher certified robust accuracy compared to interval-bound propagation (IBP) based training. We achieve certified robust accuracy 69.79\%, 57.78\% and 53.19\% while IBP-based methods achieve 44.96\%, 44.74\% and 44.66\% on 2,3 and 4 layer networks respectively on the MNIST-dataset.

研究动机与目标

• 提出一种利用二阶信息（曲率）而非一阶利普希茨界，对 $\ell_2$-有界对抗攻击实现可证明鲁棒防御的方法。
• 通过约束网络 Hessian 矩阵的特征值，计算高效且紧致的鲁棒性证书。
• 设计一种可微分的、基于曲率的正则化项，在训练过程中降低网络曲率，以提升认证鲁棒性。
• 证明曲率正则化可显著提升认证鲁棒准确率，优于现有的区间传播（IBP）方法。

提出的方法

• 利用引理 1 推导具有可微激活函数的深度神经网络 Hessian 的闭式表达式。
• 建立理论条件，证明在 Hessian 特征值有界的情况下，可通过凸优化计算鲁棒性证书。
• 提出基于曲率的鲁棒性证书（CRC），作为到决策边界的最小 $\ell_2$ 距离的紧致、高效可计算下界。
• 提出一种可微分的曲率上界（Hessian 特征值），可在训练过程中作为正则化项使用。
• 通过将曲率界作为正则化项引入，开发基于曲率的鲁棒训练（CRT），在保持准确率的同时最小化网络曲率。
• 利用对偶理论将证书问题与攻击问题关联，实现在可验证条件下高效计算可证明最近的对抗样本。

实验结果

研究问题

• RQ1 能否利用二阶信息（Hessian 特征值）推导出比一阶方法（如 IBP）更紧致、更高效的鲁棒性证书？
• RQ2 是否可以计算出深度网络曲率的可微分上界，使其可作为训练过程中的正则化项？
• RQ3 通过正则化最小化网络曲率，是否可在不降低标准准确率的前提下，提升认证鲁棒准确率？
• RQ4 在何种条件下，CRC 方法可可证明地识别给定输入的最近对抗样本？
• RQ5 在 MNIST 和 Fashion-MNIST 上，与 IBP 及其他对抗训练基线相比，基于曲率的正则化在认证鲁棒性方面表现如何？

主要发现

• CRT 在 2 层、3 层和 4 层 MNIST 网络上的认证鲁棒准确率分别达到 69.79%、57.78% 和 53.19%，显著优于基于 IBP 的方法（分别为 44.96%、44.74% 和 44.66%）。
• 即使不进行对抗训练，曲率正则化也能实现非平凡的认证鲁棒准确率：在 2、3 和 4 层 Sigmoid 网络上分别达到 84.73%、88.66% 和 89.61%。
• 对于 MNIST 上的 2 层、3 层和 4 层网络，CRC 方法在 44.17%、22.59% 和 19.53% 的情况下可可证明地识别最近的对抗样本。
• 在 2 层 Sigmoid 网络上，加入较小的曲率正则化项（$\gamma = 0.005$）可使 CRC 从约 0.48 提升至约 0.83，同时标准准确率下降不足 0.5%。
• CROWN 证书在曲率正则化下仅略有增加，但 CRC 显著提升，表明 CRC 是更紧致、更具信息量的证书。
• 对于具有 ReLU 和 Sigmoid 激活函数的 4 层网络，即使不进行对抗训练，曲率正则化也能使认证鲁棒准确率超过 85%，证明了该方法的有效性。