[论文解读] ASP:A Fast Adversarial Attack Example Generation Framework based on Adversarial Saliency Prediction

Fuxun Yu, Qide Dong+1 more|arXiv (Cornell University)|Feb 15, 2018

Adversarial Robustness in Machine Learning参考文献 15被引用 3

一句话总结

本文提出ASP，一种快速的对抗样本生成框架，通过利用对抗显著性预测显著加速攻击生成过程，同时降低扰动率。通过预测对攻击具有高影响的像素区域，ASP实现最高12倍的加速，扰动率降低2倍，并在MNIST和CIFAR-10上实现87%的攻击成功率，优于FGM、BIM和DeepFool。

ABSTRACT

With the excellent accuracy and feasibility, the Neural Networks have been widely applied into the novel intelligent applications and systems. However, with the appearance of the Adversarial Attack, the NN based system performance becomes extremely vulnerable:the image classification results can be arbitrarily misled by the adversarial examples, which are crafted images with human unperceivable pixel-level perturbation. As this raised a significant system security issue, we implemented a series of investigations on the adversarial attack in this work: We first identify an image's pixel vulnerability to the adversarial attack based on the adversarial saliency analysis. By comparing the analyzed saliency map and the adversarial perturbation distribution, we proposed a new evaluation scheme to comprehensively assess the adversarial attack precision and efficiency. Then, with a novel adversarial saliency prediction method, a fast adversarial example generation framework, namely "ASP", is proposed with significant attack efficiency improvement and dramatic computation cost reduction. Compared to the previous methods, experiments show that ASP has at most 12 times speed-up for adversarial example generation, 2 times lower perturbation rate, and high attack success rate of 87% on both MNIST and Cifar10. ASP can be also well utilized to support the data-hungry NN adversarial training. By reducing the attack success rate as much as 90%, ASP can quickly and effectively enhance the defense capability of NN based system to the adversarial attacks.

研究动机与目标

• 解决现有对抗攻击方法计算成本高且精度低的问题。
• 提高攻击效率并降低扰动幅度，实现更精准、更有效的攻击。
• 通过快速生成高质量对抗样本，实现可扩展的对抗训练。
• 提供全面的评估方案，基于显著性分析衡量攻击的精度与效率。
• 通过支持快速攻击生成的数据密集型对抗训练，增强神经网络的鲁棒性。

提出的方法

• 提出一种新颖的对抗显著性预测方法，用于识别图像中最具脆弱性的像素区域以实施攻击。
• 利用基于梯度分析生成的显著性图，指导有针对性的扰动定位。
• 引入一个预训练的对抗模式预测模块，避免在攻击生成过程中进行迭代梯度计算。
• 构建一个快速攻击框架（ASP），在极低计算开销下生成高质量的对抗样本。
• 将生成的对抗样本应用于对抗训练，提升模型对后续攻击的鲁棒性。
• 开发一种综合评估方案，结合显著性分析与扰动分布对比，以衡量攻击的精度与效率。

实验结果

研究问题

• RQ1 对抗显著性预测在多大程度上能提升对抗样本生成的精度与效率？
• RQ2 预训练的显著性模型是否能在不牺牲攻击成功率的前提下降低生成对抗样本的计算成本？
• RQ3 ASP在速度、扰动幅度和攻击成功率方面，相较于FGM、BIM和DeepFool等现有方法，优势有多大？
• RQ4 ASP在支持数据密集型对抗训练以增强模型鲁棒性方面效果如何？
• RQ5 ASP生成的对抗样本对降低后续攻击在防御模型上的成功率有何影响？

主要发现

• 在CIFAR-10上，与BIM和DeepFool相比，ASP在生成对抗样本方面实现了最高12倍的加速，1000张图像仅需2.1秒，而BIM需25.1秒。
• 在MNIST上，与FGM、BIM和DeepFool相比，ASP将扰动率降低最多2倍，且扰动集中度最低。
• 在MNIST和CIFAR-10上，ASP保持了87%–92%的高攻击成功率，优于FGM（7.2%成功率），并匹配或超过BIM和DeepFool。
• 在对抗训练中，ASP使后续攻击的成功率降低45%至90%，显著提升了模型的鲁棒性。
• ASE（攻击成功率效率）指标证实，ASP预测的显著性模式比基于梯度的方法更有效，具有更高的精度和更低的计算成本。
• ASP的预训练模式预测能力实现了极低开销的快速推理，适用于大规模对抗训练和实时应用。