[论文解读] An integrated Auto Encoder-Block Switching defense approach to prevent adversarial attacks

Anirudh Yadav, Ashutosh Upadhyay‬+1 more|arXiv (Cornell University)|Mar 11, 2022

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本文提出了一种新颖的防御机制，结合自编码器用于去除扰动以及模块切换架构，以增强对白盒对抗性攻击的鲁棒性。在FGSM攻击下的评估表明，该集成方法通过重建输入并动态改变网络模块，显著降低了误分类率，从而提高了抗干扰能力。

ABSTRACT

According to recent studies, the vulnerability of state-of-the-art Neural Networks to adversarial input samples has increased drastically. A neural network is an intermediate path or technique by which a computer learns to perform tasks using Machine learning algorithms. Machine Learning and Artificial Intelligence model has become a fundamental aspect of life, such as self-driving cars [1], smart home devices, so any vulnerability is a significant concern. The smallest input deviations can fool these extremely literal systems and deceive their users as well as administrator into precarious situations. This article proposes a defense algorithm that utilizes the combination of an auto-encoder [3] and block-switching architecture. Auto-coder is intended to remove any perturbations found in input images whereas the block switching method is used to make it more robust against White-box attacks. The attack is planned using FGSM [9] model, and the subsequent counter-attack by the proposed architecture will take place thereby demonstrating the feasibility and security delivered by the algorithm.

研究动机与目标

• 解决深度神经网络对利用微小扰动的对抗性输入日益暴露的脆弱性问题。
• 提升对白盒攻击的防御鲁棒性，其中攻击者可完全访问模型架构和参数。
• 将自编码用于输入重建与动态模块切换相结合，以增加攻击者模型的不确定性。
• 在受控评估中验证该混合防御方法在FGSM基础对抗攻击下的有效性。

提出的方法

• 训练自编码器以学习去除对抗性攻击引入的微小、难以察觉的扰动，从而重建输入图像。
• 模块切换机制在推理过程中动态重构网络内的残差模块，以破坏对抗性模式。
• 该防御结合了自编码器的去噪能力与模块切换的结构随机性，以增强模型鲁棒性。
• 使用FGSM攻击模型作为主要威胁场景，评估该架构的抗干扰能力。
• 该防御在推理阶段应用，自编码器在输入进入主网络前进行处理。
• 模块切换组件在前向传播中引入随机性，使攻击者更难预测梯度。

实验结果

研究问题

• RQ1 自编码器是否能有效在分类前减少输入图像中的对抗性扰动？
• RQ2 在残差网络中采用动态模块切换是否能提高对白盒对抗性攻击的抵抗能力？
• RQ3 与单独使用任一技术相比，自编码与模块切换的结合在鲁棒性方面表现如何？
• RQ4 所提出方法在FGSM攻击下能将误分类率降低到何种程度？

主要发现

• 所提出的防御方法通过输入重建与结构多样性引入，显著降低了FGSM攻击的成功率。
• 自编码与模块切换的集成使模型比单独使用任一技术更具鲁棒性。
• 自编码器能有效去除微小、有针对性的扰动，在分类前恢复输入的保真度。
• 模块切换增加了模型的不确定性，使基于梯度的攻击因不可预测的梯度流动而效果降低。