[论文解读] Attacking Binarized Neural Networks

Angus Galloway, Graham W. Taylor+1 more|arXiv (Cornell University)|Nov 1, 2017

Adversarial Robustness in Machine Learning参考文献 12被引用 22

一句话总结

本文研究了二值化神经网络（BNNs）的对抗鲁棒性，表明在单层中对权重进行随机量化可显著提高对迭代式对抗攻击的抵抗能力。研究发现，BNNs表现出梯度遮蔽效应，从而抑制攻击成功率，且采用随机量化后的BNN在最强的白盒攻击（CWL2）下于MNIST数据集上实现了71±2%的对抗准确率，优于全精度模型超过70倍。

ABSTRACT

Neural networks with low-precision weights and activations offer compelling efficiency advantages over their full-precision equivalents. The two most frequently discussed benefits of quantization are reduced memory consumption, and a faster forward pass when implemented with efficient bitwise operations. We propose a third benefit of very low-precision neural networks: improved robustness against some adversarial attacks, and in the worst case, performance that is on par with full-precision models. We focus on the very low-precision case where weights and activations are both quantized to $\pm$1, and note that stochastically quantizing weights in just one layer can sharply reduce the impact of iterative attacks. We observe that non-scaled binary neural networks exhibit a similar effect to the original defensive distillation procedure that led to gradient masking, and a false notion of security. We address this by conducting both black-box and white-box experiments with binary models that do not artificially mask gradients.

研究动机与目标

• 评估二值化神经网络（BNNs）在MNIST和CIFAR-10数据集上对对抗攻击的鲁棒性。
• 探究低精度模型（特别是BNNs）是否因梯度遮蔽或正则化效应而具备固有的鲁棒性。
• 在白盒和黑盒威胁模型下，比较BNNs与全精度模型的性能。
• 提出并验证一种结合随机量化与结构正则化的防御策略，以提升对抗鲁棒性。

提出的方法

• 作者在权重和激活值均量化为±1的条件下训练二值化神经网络（BNNs），并在单个卷积层中引入随机量化，以扰乱迭代攻击的梯度。
• 在MNIST和CIFAR-10上使用FGSM、JSMA和CWL2进行白盒与黑盒对抗攻击，比较BNNs与全精度模型的性能。
• 研究分析了梯度行为与激活统计特性，观察到BNNs表现出较大的logit方差与非平滑梯度，从而导致梯度遮蔽。
• 随机量化在每次攻击步骤中引入模型变异性，有效将迭代攻击转化为无一致方向的集合式搜索。
• 作者使用伪随机数生成器高效实现随机量化，适用于微控制器部署。
• 通过对比不同架构与量化策略（包括缩放与非缩放BNNs）的性能，以分离出鲁棒性的作用机制。

实验结果

研究问题

• RQ1 神经网络中权重与激活的二值化是否能提升对对抗攻击的鲁棒性？
• RQ2 BNNs中梯度遮蔽效应在多大程度上抑制了迭代对抗攻击的成功率？
• RQ3 在单层中对权重进行随机量化是否能显著降低强白盒攻击的有效性？
• RQ4 在黑盒与白盒威胁模型下，BNNs的鲁棒性与全精度模型相比如何？
• RQ5 二值单元带来的正则化在降低对对抗样本敏感性方面起到何种作用？

主要发现

• 在单个卷积层中对权重进行随机量化，通过在每一步引入模型变异性，显著降低了迭代攻击的成功率，有效将攻击转化为对模型集合的搜索。
• 在MNIST上，采用随机量化的BNN（S64+）在CWL2白盒攻击下实现了71±2%的对抗准确率，而最佳全精度模型仅为1.8±0.9%。
• BNNs表现出两种梯度遮蔽形式：一种源于较大的logit方差与softmax函数饱和，另一种源于二值运算带来的不连续、非平滑梯度。
• 未使用随机量化的普通BNN对目标攻击（尤其是JSMA）表现出鲁棒性，这归因于攻击在离散、高方差梯度上表现不佳。
• 在CIFAR-10上，BNNs在黑盒设置下略优于全精度模型，归因于二值单元带来的改进正则化效果。
• 研究证实，BNNs对单步攻击（如FGSM）并无固有更强的鲁棒性，但随机量化显著提升了对更强迭代攻击的抵抗能力。