[论文解读] Advbox: a toolbox to generate adversarial examples that fool neural networks

Dou Goodman, Xin Hao+4 more|arXiv (Cornell University)|Jan 13, 2020

Adversarial Robustness in Machine Learning参考文献 50被引用 39

一句话总结

AdvBox 是一个基于 Python 的工具箱，能够在多个框架（PaddlePaddle、PyTorch、Caffe2、MXNet、Keras、TensorFlow）上生成对抗样本，以欺骗神经网络，并支持黑盒和真实世界的攻击场景，以及鲁棒性基准测试。

ABSTRACT

In recent years, neural networks have been extensively deployed for computer vision tasks, particularly visual classification problems, where new algorithms reported to achieve or even surpass the human performance. Recent studies have shown that they are all vulnerable to the attack of adversarial examples. Small and often imperceptible perturbations to the input images are sufficient to fool the most powerful neural networks. \emph{Advbox} is a toolbox to generate adversarial examples that fool neural networks in PaddlePaddle, PyTorch, Caffe2, MxNet, Keras, TensorFlow and it can benchmark the robustness of machine learning models. Compared to previous work, our platform supports black box attacks on Machine-Learning-as-a-service, as well as more attack scenarios, such as Face Recognition Attack, Stealth T-shirt, and DeepFake Face Detect. The code is licensed under the Apache 2.0 and is openly available at https://github.com/advboxes/AdvBox. Advbox now supports Python 3.

研究动机与目标

• 在主要深度学习框架上推动并实现对抗样本的生成与评估。
• 提供一个统一的平台用于攻击、防御与鲁棒性基准测试。
• 将攻击场景扩展到黑盒 ML-as-a-Service 以及现实世界场景（人脸识别攻击、隐形T恤、DeepFake 人脸检测）。

提出的方法

• 实现多种对抗攻击（FGSM、BIM、DeepFool、JSMA、CW、PGD），并采用基于距离的扰动度量。
• 为 TensorFlow、PyTorch、MXNet、PaddlePaddle 提供模型接口，并支持 GraphPipe 以屏蔽底层平台。
• 在面向对象的 AdvBox 框架中封装对手、攻击和防御逻辑。
• 包含六种防御方法（特征压缩、空间平滑、标签平滑、高斯增强、对抗训练、温度编码）。
• 提供鲁棒性评估子项目 Perceptron，用于对比CV DNN和云API的模型鲁棒性。
• 研究并扩展攻击场景至超出标准基准的领域（人脸识别攻击、隐形T恤、DeepFake 人脸检测）。

实验结果

研究问题

• RQ1 如何在多种深度学习框架中高效生成对抗样本？
• RQ2 哪些防御对一系列攻击有效，以及如何实现鲁棒性的一致基准测试？
• RQ3 对黑盒、ML-as-a-Service 设置以及现实世界场景（如人脸识别和 DeepFake 检测）是否可以扩展对抗攻击？
• RQ4 不同扰动度量（L1、L2、L∞ 等）如何影响跨任务的攻击有效性？

主要发现

• AdvBox 支持在 PaddlePaddle、PyTorch、Caffe2、MXNet、Keras 和 TensorFlow 上进行对抗样本生成，并提供黑盒选项。
• 它实现六种核心攻击（FGSM、BIM、DeepFool、JSMA、CW、PGD）并将其与常见扰动范数（L1、L2、L∞）对齐。
• 该平台提供六种防御，并通过 Perceptron 基准在视觉模型和云 API 上展示鲁棒性评估。
• AdvBox 使攻击场景超越标准基准成为可能，包括人脸识别攻击、隐形 T 恤和 DeepFake 人脸检测。
• AdvBox 强调可访问性和开放性，开源可用且基于 Python 的面向对象设计。
• 该工具箱支持 GraphPipe，实现框架无关的模型查询和来自不同生态系统的模型文件的黑盒访问。