[论文解读] ATHENA: A Framework based on Diverse Weak Defenses for Building Adversarial Defense

Ying Meng, Jianhai Su+1 more|arXiv (Cornell University)|Jan 2, 2020

Adversarial Robustness in Machine Learning参考文献 71被引用 11

一句话总结

Athena 是一个灵活且可扩展的框架，通过集成多种弱防御方法（即在分类前对输入应用各种变换）来构建鲁棒的对抗性防御。它在多种威胁模型（从零知识攻击到白盒攻击）下实现了最先进水平的鲁棒性，且在 CIFAR-100 上优于 PGD 对抗训练，尤其在使用多样化变换时表现更优，同时支持在鲁棒性与计算成本之间进行可定制的权衡。

ABSTRACT

There has been extensive research on developing defense techniques against adversarial attacks; however, they have been mainly designed for specific model families or application domains, therefore, they cannot be easily extended. Based on the design philosophy of ensemble of diverse weak defenses, we propose ATHENA---a flexible and extensible framework for building generic yet effective defenses against adversarial attacks. We have conducted a comprehensive empirical study to evaluate several realizations of ATHENA with four threat models including zero-knowledge, black-box, gray-box, and white-box. We also explain (i) why diversity matters, (ii) the generality of the defense framework, and (iii) the overhead costs incurred by ATHENA.

研究动机与目标

• 解决当前对抗性攻击防御方法缺乏通用性与可扩展性的问题，避免局限于特定模型族或攻击类型。
• 通过设计一种利用弱防御多样性而非依赖单一强防御的框架，克服现有防御方法的脆弱性。
• 通过集成组件的组合方式，提供鲁棒性、模型准确率与计算开销之间的可定制权衡空间。
• 通过调整弱防御的数量与类型，实现对云环境与边缘系统等多样化部署环境的支持。
• 证明集成多样化变换可显著提升鲁棒性，优于同质化或单一切换防御方法。

提出的方法

• 基于集成多个弱防御（WDs）构建防御框架，其中每个 WD 在分类前对输入应用不同的输入变换（如旋转、平移、去噪等）。
• 采用集成策略（如输出平均或多数投票）组合所有 WD 的预测结果，通过多样性提升鲁棒性。
• 从覆盖多种类型（几何变换、滤波、压缩等）的大量变换中选取 WD，以最大程度扰乱输入扰动。
• 支持根据资源可用性、威胁模型或期望鲁棒性水平，在部署时动态配置集成结构。
• 与现有机器学习模型集成，支持模型无关与模型特定的防御策略。
• 通过调整集成规模与变换复杂度，实现在多云、边缘等平台上的混合部署。

实验结果

研究问题

• RQ1 与单一或同质化防御相比，多样化弱防御的集成是否能显著提升对对抗性攻击的鲁棒性？
• RQ2 集成中变换的多样性如何影响在不同威胁模型（零知识、黑盒、灰盒、白盒）下的鲁棒性表现？
• RQ3 Athena 在无需微调的情况下，能否在不同模型架构与应用领域（如图像、语音、视频）间实现良好泛化？
• RQ4 当集成中弱防御的数量与类型发生变化时，鲁棒性、推理开销与模型准确率之间的权衡关系如何？
• RQ5 通过减少集成规模，Athena 是否能有效适配资源受限的边缘设备，同时不损失关键鲁棒性？

主要发现

• 多样化弱防御集成在 CIFAR-100 上的错误率低于 PGD 对抗训练，且在大多数情况下比第二名低至少 20%。
• 在所有数据集与攻击类型中，多样化集成均优于同质化集成（如基于平移或旋转的集成），尤其在应对 CW 等复杂攻击时表现更优。
• 随着弱防御数量的增加，错误率持续降低，包含 4 个或以上 WD 的集成在性能上达到或超过 PGD-ADT。
• 该框架在四种威胁模型（零知识、黑盒、灰盒、白盒）下均表现出鲁棒性，证实其通用性与抗压能力。
• Athena 的开销具有可调性：可通过减少 WD 数量实现边缘部署，同时保持可接受的鲁棒性水平。
• 变换的多样性至关重要：不同变换以互补方式扰乱对抗性扰动，使攻击者更难构造通用攻击。