[论文解读] (De)Randomized Smoothing for Certifiable Defense against Patch Attacks

Alexander Levine, Soheil Feizi|arXiv (Cornell University)|Feb 25, 2020

Adversarial Robustness in Machine Learning参考文献 26被引用 49

一句话总结

本文提出一种去随机化、结构化的消融防御，针对贴片攻击使用分块和平滑来提供对图像的精确、可证实的鲁棒性，规模可从 CIFAR-10 扩展到 ImageNet。

ABSTRACT

Patch adversarial attacks on images, in which the attacker can distort pixels within a region of bounded size, are an important threat model since they provide a quantitative model for physical adversarial attacks. In this paper, we introduce a certifiable defense against patch attacks that guarantees for a given image and patch attack size, no patch adversarial examples exist. Our method is related to the broad class of randomized smoothing robustness schemes which provide high-confidence probabilistic robustness certificates. By exploiting the fact that patch attacks are more constrained than general sparse attacks, we derive meaningfully large robustness certificates against them. Additionally, in contrast to smoothing-based defenses against L_p and sparse attacks, our defense method against patch attacks is de-randomized, yielding improved, deterministic certificates. Compared to the existing patch certification method proposed by Chiang et al. (2020), which relies on interval bound propagation, our method can be trained significantly faster, achieves high clean and certified robust accuracy on CIFAR-10, and provides certificates at ImageNet scale. For example, for a 5-by-5 patch attack on CIFAR-10, our method achieves up to around 57.6% certified accuracy (with a classifier with around 83.8% clean accuracy), compared to at most 30.3% certified accuracy for the existing method (with a classifier with around 47.8% clean accuracy). Our results effectively establish a new state-of-the-art of certifiable defense against patch attacks on CIFAR-10 and ImageNet. Code is available at https://github.com/alevine0/patchSmoothing.

研究动机与目标

• 激励针对将物理攻击建模为图像的贴片对手的鲁棒防御。
• 开发一种可证实的防御，利用贴片攻击的结构特性来提升保护效果。
• 提出一种带块/带消融的去随机化平滑方法，可得出精确的鲁棒性证书。
• 展示该方法可扩展到大规模数据集（CIFAR-10、ImageNet），并具备优越的可证鲁棒性。
• 与现有的区间界限传播方法进行比较，以证明更快的训练和更好的性能。

提出的方法

• 提出两种结构化消融方案（块平滑和带平滑），以保留相关像素组，最小化贴片重叠的概率。
• 使用一个以消融输入为输入的基础分类器；对所有可能保留的块/带进行投票计数，以为每个类别形成 n_c(x)。
• 通过对类别概率的精确计算而非基于采样的估计，提供确定性的鲁棒性证书。
• 使用阈值（theta）在基础分类器不确定时允许弃权或进行多类别投票。
• 对传统的 L0 随机平滑进行去随机化，从而获得精确而非概率性的证书。
• 通过经验确定列平滑（带/列消融）在各数据集上产生最强的证书。

实验结果

研究问题

• RQ1 结构化消融（块/带）是否比简单稀疏消融更有效地降低贴片攻击与保留像素的交叉概率？
• RQ2 去随机化的结构化平滑方法是否提供精确的鲁棒性证书并提升在 CIFAR-10 与 ImageNet 规模任务上的可证鲁棒性？
• RQ3 在不同贴片大小下，块平滑与带平滑在可证与清洁准确率方面如何比较？
• RQ4 该方法是否能扩展到像 ImageNet 这样的大规模数据集，同时保持有竞争力的可证鲁棒性？
• RQ5 相对于先前的区间界限传播方法，实际的训练时间和实现有哪些优势？

主要发现

• 列平滑（带/列为基础的消融）在 MNIST 和 CIFAR-10 上的一致结果显示可证准确率高于块平滑。
• 在 CIFAR-10 的 5×5 块上，该方法实现了 57.58% 的可证准确率和 83.82% 的清洁准确率，而 Chiang 等人（2020）为 30.3% 的可证且 47.8% 的清洁。
• 在 MNIST 上，该方法达到 52.44% 的可证准确率和 96.54% 的清洁准确率。
• 在 ImageNet（42×42 补丁）上，该方法实现了 13.9% 的可证准确率和 44.6% 的清洁准确率。
• 去随机化（结构化）平滑在 CIFAR-10 上相对于随机对照提高了可证证书，最多约提升 7 个百分点。
• 该方法可扩展到 ImageNet，并且相较于先前针对贴片攻击的可证防御提供更快的训练。