[论文解读] AutoGAN: Robust Classifier Against Adversarial Attacks

Blerta Lindqvist, Shridatt Sugrim+1 more|arXiv (Cornell University)|Dec 8, 2018

Adversarial Robustness in Machine Learning参考文献 23被引用 4

一句话总结

AutoGAN 是一种基于 GAN 的分类器，通过使用自编码器生成器增强数据流形，并利用分类判别器来抵御对抗性攻击，而无需使用对抗性训练数据。它在 FGSM 扰动的 MNIST 图像上实现了 89% 的准确率，超过 FGSM 的 1%，通过将扰动输入投影到经过优化的、鲁棒的流形上，展示了在不同攻击类型和扰动幅度下的强大泛化能力。

ABSTRACT

Classifiers fail to classify correctly input images that have been purposefully and imperceptibly perturbed to cause misclassification. This susceptability has been shown to be consistent across classifiers, regardless of their type, architecture or parameters. Common defenses against adversarial attacks modify the classifer boundary by training on additional adversarial examples created in various ways. In this paper, we introduce AutoGAN, which counters adversarial attacks by enhancing the lower-dimensional manifold defined by the training data and by projecting perturbed data points onto it. AutoGAN mitigates the need for knowing the attack type and magnitude as well as the need for having adversarial samples of the attack. Our approach uses a Generative Adversarial Network (GAN) with an autoencoder generator and a discriminator that also serves as a classifier. We test AutoGAN against adversarial samples generated with state-of-the-art Fast Gradient Sign Method (FGSM) as well as samples generated with random Gaussian noise, both using the MNIST dataset. For different magnitudes of perturbation in training and testing, AutoGAN can surpass the accuracy of FGSM method by up to 25\% points on samples perturbed using FGSM. Without an augmented training dataset, AutoGAN achieves an accuracy of 89\% compared to 1\% achieved by FGSM method on FGSM testing adversarial samples.

研究动机与目标

• 解决深度神经网络在安全关键应用中对不可察觉的对抗性扰动的脆弱性。
• 克服现有防御方法对攻击类型、扰动幅度或对抗性训练样本先验知识的依赖。
• 开发一种在无需数据增强的情况下，能跨多样化对抗性攻击和扰动水平实现鲁棒分类的分类器。
• 通过在生成器和判别器中嵌入分类逻辑，最小化对攻击者的暴露，确保防御的鲁棒性。

提出的方法

• 使用 GAN 架构，以自编码器作为生成器，以重建并增强底层数据流形。
• 采用同时执行分类和作为分类器的判别器，学习区分真实样本与虚假样本，以及被错误分类的对抗性样本。
• 将扰动的测试图像通过训练好的生成器进行投影，将其映射到增强后的干净数据流形上，以减少对抗性影响。
• 仅使用自然数据进行端到端训练，不通过对抗样本进行数据增强，依赖流形学习实现鲁棒性。
• 利用自然图像位于低维流形上的几何特性，而对抗性样本通常位于流形间隙或高曲率区域的特性。
• 利用自编码器的瓶颈层，强制生成紧凑且结构化的表征，通过将输入投影到真实数据分布方向来抵抗扰动。

实验结果

研究问题

• RQ1 分类器是否能在不使用对抗性训练数据的情况下实现对对抗性攻击的鲁棒性？
• RQ2 通过基于 GAN 的自编码器进行流形增强，如何提升在不同扰动幅度下的泛化能力？
• RQ3 生成器与判别器的联合学习相比仅使用单一组件，对防御鲁棒性的贡献程度如何？
• RQ4 在不进行数据增强的情况下，AutoGAN 在针对目标 FGSM 攻击和随机高斯噪声扰动下的表现如何？
• RQ5 当训练和测试的扰动幅度不一致时，模型是否仍能保持高准确率？

主要发现

• 当训练过程中未使用任何对抗样本时，AutoGAN 在 FGSM 扰动的 MNIST 测试数据上实现了 89% 的准确率，而基线 FGSM 方法仅达到 1% 的准确率。
• 当训练数据通过对抗样本进行增强时，与 FGSM 相比，AutoGAN 的准确率最高可提升 25 个百分点，表明其在不同扰动水平下具有强大的泛化能力。
• 即使未进行对抗性数据增强，AutoGAN 在随机高斯噪声扰动图像上仍保持高性能，准确率最高可比默认分类器提升 49 个百分点。
• 投影实验表明，AutoGAN 增强了原始数据流形，因为投影后的扰动图像不再 resemble MNIST 数字，表明实现了有效的流形正则化。
• 将 AutoGAN 的判别器替换为默认分类器后，性能显著下降（例如，在 0.1 FGSM 幅度下准确率仅为 50%），证明生成器和判别器在防御中均不可或缺。
• 该防御机制对攻击类型和扰动幅度的变化具有鲁棒性，AutoGAN 在多种 FGSM 和高斯噪声扰动水平下均保持高准确率。