[论文解读] Effective and Efficient Vote Attack on Capsule Networks

Jindong Gu, Baoyuan Wu+1 more|arXiv (Cornell University)|Feb 19, 2021

Internet Traffic Analysis and Secure E-voting参考文献 35被引用 12

一句话总结

本文提出了一种新颖且高效的胶囊网络投票攻击方法，直接操纵主胶囊到输出胶囊的投票，完全绕过计算成本高昂的路由机制。该攻击在成功率方面优于先前方法，并能有效规避基于类别条件重建的检测，展现出在MNIST、FMNIST和SVHN数据集上更优的鲁棒性与可迁移性。

ABSTRACT

Standard Convolutional Neural Networks (CNNs) can be easily fooled by images with small quasi-imperceptible artificial perturbations. As alternatives to CNNs, the recently proposed Capsule Networks (CapsNets) are shown to be more robust to white-box attacks than CNNs under popular attack protocols. Besides, the class-conditional reconstruction part of CapsNets is also used to detect adversarial examples. In this work, we investigate the adversarial robustness of CapsNets, especially how the inner workings of CapsNets change when the output capsules are attacked. The first observation is that adversarial examples misled CapsNets by manipulating the votes from primary capsules. Another observation is the high computational cost, when we directly apply multi-step attack methods designed for CNNs to attack CapsNets, due to the computationally expensive routing mechanism. Motivated by these two observations, we propose a novel vote attack where we attack votes of CapsNets directly. Our vote attack is not only effective but also efficient by circumventing the routing process. Furthermore, we integrate our vote attack into the detection-aware attack paradigm, which can successfully bypass the class-conditional reconstruction based detection method. Extensive experiments demonstrate the superior attack performance of our vote attack on CapsNets.

研究动机与目标

• 研究对抗样本如何影响胶囊网络的内部机制，特别是投票与路由机制。
• 解决由于路由过程计算成本高昂，导致在CapsNets上应用标准多步攻击（如PGD）效率低下的问题。
• 开发一种更高效、更有效的攻击方法，直接针对胶囊网络中的投票进行攻击，以提升攻击成功率与规避能力。
• 将所提出的攻击方法集成到检测感知框架中，以绕过基于类别条件重建的对抗检测。

提出的方法

• 该攻击直接操纵主胶囊到输出胶囊的投票 $\boldsymbol{\hat{u}}_{j|i} = \mathbf{W}_{ij}\mathbf{u}_i$，完全避免使用路由过程。
• 通过直接针对投票而非最终胶囊输出进行攻击，该方法在保持高攻击效果的同时显著降低计算成本。
• 将攻击建模为对输入扰动的优化问题，以最大化目标类别的误分类，采用基于投票向量的代理损失函数。
• 将该方法集成到检测感知攻击范式中，使扰动在优化过程中能够规避类别条件重建模块的检测。
• 在目标攻击与非目标攻击两种设置下应用该方法，攻击成功率与未被检测率作为评估指标。
• 在MNIST、FMNIST和SVHN数据集上，对多种网络架构（包括标准CapsNets与带有CNN主干的模型）进行了评估。

实验结果

研究问题

• RQ1 对抗样本如何操纵胶囊网络的内部组件，特别是投票与路由过程？
• RQ2 为何将标准PGD风格攻击直接应用于CapsNets效率低下？能否通过攻击其他组件来缓解该问题？
• RQ3 直接对投票进行攻击是否能实现比攻击最终胶囊输出更高的成功率与更低的计算成本？
• RQ4 该投票攻击在多大程度上能够规避胶囊网络中基于类别条件重建的对抗检测？
• RQ5 由投票攻击生成的对抗样本在不同CapsNet架构与数据集之间的可迁移性如何？

主要发现

• 在PGD-based攻击设置下，该投票攻击在MNIST上的目标攻击成功率高达94.7%，显著优于Caps-Attack的90.6%。
• 在FMNIST上，该投票攻击在检测感知攻击设置下的成功率达95.6%，高于Caps-Attack的89.7%，表明其具备更强的规避能力。
• 在检测感知设置下，使用投票攻击生成的对抗样本未被检测率显著提高，表明其能有效绕过基于重建的检测。
• 投票攻击生成的扰动在 $\ell_0$、$\ell_1$ 和 $\ell_2$ 范数上与Caps-Attack生成的扰动相近，证实了其视觉相似性与不可察觉性。
• 该投票攻击在不同CapsNet架构（包括带与不带CNN主干的模型）上均保持高性能，展现出强大的可迁移性。
• 即使在对抗训练下，该投票攻击仍维持较高成功率，表明胶囊网络对目标级别的投票操纵仍存在显著脆弱性。