[论文解读] A Data Augmentation-based Defense Method Against Adversarial Attacks in Neural Networks

Yi Zeng, Han Qiu+2 more|arXiv (Cornell University)|Jul 30, 2020

Adversarial Robustness in Machine Learning参考文献 38被引用 4

一句话总结

本文提出了一种轻量级基于数据增强的防御方法——随机仿射变换（Stochastic Affine Transformation, SAT），通过在推理阶段对输入图像应用随机化的仿射变换（平移、旋转和缩放）来增强对对抗攻击的鲁棒性。SAT在保持高干净准确率（98%）的同时，将攻击成功率降低至接近零，在50轮BPDA攻击下仍保持80%的准确率，优于当前最先进防御方法。

ABSTRACT

Deep Neural Networks (DNNs) in Computer Vision (CV) are well-known to be vulnerable to Adversarial Examples (AEs), namely imperceptible perturbations added maliciously to cause wrong classification results. Such variability has been a potential risk for systems in real-life equipped DNNs as core components. Numerous efforts have been put into research on how to protect DNN models from being tackled by AEs. However, no previous work can efficiently reduce the effects caused by novel adversarial attacks and be compatible with real-life constraints at the same time. In this paper, we focus on developing a lightweight defense method that can efficiently invalidate full whitebox adversarial attacks with the compatibility of real-life constraints. From basic affine transformations, we integrate three transformations with randomized coefficients that fine-tuned respecting the amount of change to the defended sample. Comparing to 4 state-of-art defense methods published in top-tier AI conferences in the past two years, our method demonstrates outstanding robustness and efficiency. It is worth highlighting that, our model can withstand advanced adaptive attack, namely BPDA with 50 rounds, and still helps the target model maintain an accuracy around 80 %, meanwhile constraining the attack success rate to almost zero.

研究动机与目标

• 开发一种轻量级、与模型无关的对抗攻击防御方法，使其在真实世界约束下依然有效。
• 解决先前防御方法在面对BPDA等高级白盒攻击时失效的局限性。
• 提升对标准梯度攻击（如FGSM、C&W）以及自适应攻击（如BPDA）的鲁棒性。
• 在保持良性输入高分类准确率的同时，有效消除对抗扰动。

提出的方法

• SAT在推理过程中对输入图像应用三种仿射变换——平移、旋转和缩放，并使用随机系数进行控制。
• 变换系数的随机化引入了随机性，破坏了BPDA等攻击所依赖的基于梯度的假设。
• 该防御作为预处理步骤运行，无需修改网络架构，可兼容任意预训练的DNN模型。
• 该方法设计轻巧高效，适用于物联网设备等资源受限环境。
• 其利用数据增强原理增加输入的多样性，使对抗扰动失效。
• 该方法与目标模型无关，可部署于多种DNN架构中。

实验结果

研究问题

• RQ1 基于数据增强的防御能否在保持高干净准确率的同时，有效应对FGSM和C&W等标准对抗攻击？
• RQ2 该防御在应对BPDA等高级自适应攻击（如利用梯度混淆的攻击）时效果如何？
• RQ3 仿射变换中的随机化在不降低良性分类性能的前提下，能在多大程度上提升鲁棒性？
• RQ4 在具有迭代优化的完整白盒攻击场景下，该防御是否依然有效？
• RQ5 该防御引入的输入差异与其实现对梯度攻击的抑制能力之间有何关联？

主要发现

• SAT在FGSM和IFGSM攻击下实现了98%的干净准确率，攻击成功率降至0%，显著优于基线模型。
• 在C&W和LBFGS攻击下，SAT分别保持85%和78%的准确率，攻击成功率低于1%。
• 在50轮BPDA攻击下，SAT保持80%的模型准确率，攻击成功率维持在0%，优于所有先前的防御方法。
• 防御效果与原始输入和变换后输入之间引入的差异密切相关，该差异通过$l_2$、SSIM和PSNR进行度量。
• SAT的表现优于四种最先进防御方法（FD、SHIELD、BdR、PD），尤其在抵抗自适应攻击方面表现更优。
• 该方法轻巧且符合实际应用约束，适用于物联网设备等资源受限系统的部署。