[论文解读] A randomized gradient-free attack on ReLU networks

Francesco Croce, Matthias Hein|arXiv (Cornell University)|Nov 28, 2018

Adversarial Robustness in Machine Learning参考文献 6被引用 5

一句话总结

本文提出了一种新颖的随机化梯度无关攻击方法 rLR-QP，用于ReLU神经网络，通过在ReLU网络的分段仿射几何结构中进行优化，利用其线性区域内的特性。该方法在18项实验中的17项上优于最先进的Carlini-Wagner攻击，在对抗扰动效率方面实现了高达9%的相对提升。

ABSTRACT

It has recently been shown that neural networks but also other classifiers are vulnerable to so called adversarial attacks e.g. in object recognition an almost non-perceivable change of the image changes the decision of the classifier. Relatively fast heuristics have been proposed to produce these adversarial inputs but the problem of finding the optimal adversarial input, that is with the minimal change of the input, is NP-hard. While methods based on mixed-integer optimization which find the optimal adversarial input have been developed, they do not scale to large networks. Currently, the attack scheme proposed by Carlini and Wagner is considered to produce the best adversarial inputs. In this paper we propose a new attack scheme for the class of ReLU networks based on a direct optimization on the resulting linear regions. In our experimental validation we improve in all except one experiment out of 18 over the Carlini-Wagner attack with a relative improvement of up to 9\%. As our approach is based on the geometrical structure of ReLU networks, it is less susceptible to defences targeting their functional properties.

研究动机与目标

• 开发一种更高效且鲁棒的ReLU神经网络对抗攻击方法，使其对梯度防御的敏感性更低。
• 解决精确混合整数优化方法的可扩展性限制，同时超越启发式攻击方法（如Carlini-Wagner）。
• 利用ReLU网络的几何结构——特别是其分段仿射特性——以寻找最小的对抗扰动。
• 证明几何感知攻击可生成优于最先进梯度方法的对抗样本。

提出的方法

• 该方法将对抗攻击建模为ReLU网络每个线性区域内的二次规划问题，其中分类器为仿射函数。
• 采用随机化局部搜索策略以探索线性区域，避免依赖梯度，从而降低对梯度防御的脆弱性。
• 通过使用先前的对抗样本作为热启动，执行迭代优化，逐步提升扰动质量。
• 采用二分查找初始化搜索空间，并使用Gurobi求解器求解每个线性区域内的二次规划问题。
• 该方法设计为兼容使用ReLU和池化层的全连接网络、残差网络和卷积网络。
• 该方法在MATLAB中实现，采用基于CPU的优化，未来计划移植至GPU以提升可扩展性。

实验结果

研究问题

• RQ1 一种利用ReLU网络几何结构的梯度无关攻击，是否能优于最先进梯度方法（如Carlini-Wagner）？
• RQ2 rLR-QP方法在不同网络架构和数据集上与Carlini-Wagner和DeepFool的性能相比如何？
• RQ3 对搜索过程进行迭代优化能在多大程度上提升对抗样本的质量？
• RQ4 所提出的方法是否对针对函数性质（如梯度）设计的防御更具鲁棒性？
• RQ5 该方法能否扩展至更深、更复杂的架构（如卷积神经网络）？

主要发现

• rLR-QP攻击在18项实验中的17项上优于Carlini-Wagner攻击，扰动大小的相对改进最高达9%。
• 平均而言，与DeepFool相比，rLR-QP方法将对抗扰动的$l_2$-范数降低了110%，表明性能有显著提升。
• 即使在首次运行后，算法的后续迭代仍能持续带来改进，第五次迭代中观察到最大45.7%的增益。
• 由于不依赖梯度，该方法对梯度防御具有鲁棒性，使其成为评估模型鲁棒性的更强工具。
• 迭代过程中的持续改进表明，探索更多线性区域可进一步提升性能。
• 该方法在MNIST、CIFAR-10和SVHN数据集上均有效，且可扩展至使用最大池化/平均池化和ReLU激活的卷积网络。