[论文解读] Efficient Two-Step Adversarial Defense for Deep Neural Networks

Ting‐Jui Chang, Yukun He+1 more|arXiv (Cornell University)|Oct 8, 2018

Adversarial Robustness in Machine Learning参考文献 10被引用 6

一句话总结

本文提出 e2SAD，一种高效的两步对抗防御方法，为每个输入生成两个对抗样本——首先使用 FGSM 生成，然后针对模型在该输入附近的最大脆弱性生成第二个对抗样本，从而在显著降低计算成本的前提下，实现与昂贵的迭代对抗训练（如 IFGSM）相当的鲁棒性。该方法在防御单步（FGSM）和多步（IFGSM）白盒攻击方面表现强劲，并通过软标签和超参数调优扩展至黑盒攻击。

ABSTRACT

In recent years, deep neural networks have demonstrated outstanding performance in many machine learning tasks. However, researchers have discovered that these state-of-the-art models are vulnerable to adversarial examples: legitimate examples added by small perturbations which are unnoticeable to human eyes. Adversarial training, which augments the training data with adversarial examples during the training process, is a well known defense to improve the robustness of the model against adversarial attacks. However, this robustness is only effective to the same attack method used for adversarial training. Madry et al.(2017) suggest that effectiveness of iterative multi-step adversarial attacks and particularly that projected gradient descent (PGD) may be considered the universal first order adversary and applying the adversarial training with PGD implies resistance against many other first order attacks. However, the computational cost of the adversarial training with PGD and other multi-step adversarial examples is much higher than that of the adversarial training with other simpler attack techniques. In this paper, we show how strong adversarial examples can be generated only at a cost similar to that of two runs of the fast gradient sign method (FGSM), allowing defense against adversarial attacks with a robustness level comparable to that of the adversarial training with multi-step adversarial examples. We empirically demonstrate the effectiveness of the proposed two-step defense approach against different attack methods and its improvements over existing defense strategies.

研究动机与目标

• 解决迭代对抗训练（如 IFGSM）带来的高计算成本问题，同时保持对强对抗攻击的鲁棒性。
• 开发一种防御机制，仅通过每个样本的两个对抗样本，有效揭示干净输入邻域中模型的脆弱性。
• 在训练时间接近 FGSM 等单步方法的同时，实现与昂贵的多步对抗训练（如 IFGSM）相当的鲁棒性。
• 通过软标签和超参数调优，将鲁棒性扩展至黑盒攻击。
• 通过加权损失函数，平衡对单步和多步对抗攻击的防御能力。

提出的方法

• 第一步使用快速梯度符号法（FGSM）和较小的扰动预算（ε₁ = 24/255）生成一个对抗样本。
• 第二步通过最大化模型在第一个对抗样本邻域内的脆弱性，识别出第二个对抗样本，使用不相似性度量引导搜索过程。
• 复合损失函数将原始交叉熵损失与两个对抗样本的损失相结合，通过可学习权重 λ 平衡其贡献。
• 训练过程中采用标签平滑（正确类别概率 = 0.75），以提升泛化能力和鲁棒性，尤其在黑盒攻击场景下。
• 训练过程使用标准优化方法（Adam，20 个周期），批量大小为 256，并在 MNIST 和 SVHN 数据集上进行评估。
• 该方法设计为与现有深度学习框架兼容，并可扩展至大型模型和数据集。

实验结果

研究问题

• RQ1 两步对抗防御能否以远低于计算成本的方式，实现与昂贵的迭代对抗训练（如 IFGSM）相当的鲁棒性？
• RQ2 结合单步（FGSM）和第二个最大化脆弱性的对抗样本，能否提升对单步和多步攻击的防御能力？
• RQ3 在两步防御框架中，使用软标签和超参数调优是否能增强对黑盒攻击的鲁棒性？
• RQ4 第一个和第二个对抗样本之间的不相似性是否可作为可靠信号，用于引导第二个对抗样本的生成以提升鲁棒性？
• RQ5 在真实世界数据集（如 SVHN）上，所提出的 e2SAD 方法在鲁棒性和效率方面与标准的 FGSM 和 IFGSM 对抗训练相比如何？

主要发现

• 在 SVHN 数据集上，e2SAD 在干净数据上的测试准确率为 0.9236，在 FGSM 攻击（ε=24/255）下的准确率为 0.7881，优于基于 FGSM 的对抗训练（0.7842）和自然模型（0.1962）。
• 在迭代 IFGSM 攻击（k=10，ε=24/255）下，e2SAD 实现了 0.3328 的鲁棒准确率，显著优于基于 FGSM 的训练（0.0455）和自然模型（0.0628）。
• 在 IFGSM 攻击 k=30 的情况下，e2SAD 维持了 0.3868 的鲁棒准确率，超过基于 IFGSM 的对抗训练（0.3146）和自然模型（0.0593）。
• e2SAD 在黑盒 IFGSM 攻击下也表现出强大防御能力，k=30 时鲁棒准确率为 0.3868，证明其在白盒设置之外同样有效。
• 该方法在鲁棒性上与昂贵的 IFGSM 基于对抗训练相当，同时保持了与 FGSM 基于训练相似的训练时间。
• 使用软标签和超参数调优（λ=0.3）显著提升了泛化能力和鲁棒性，尤其在黑盒攻击场景下表现突出。