[论文解读] Enhancing Generalization of Universal Adversarial Perturbation through Gradient Aggregation

Xuannan Liu, Yaoyao Zhong+3 more|arXiv (Cornell University)|Aug 11, 2023

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本文提出随机梯度聚合（SGA），一种新颖方法，通过缓解梯度消失并逃离不良局部极小值，提升通用对抗扰动（UAP）的泛化能力。SGA 在小批量梯度上执行内部预搜索，将梯度聚合为稳定的一次更新，显著提升UAP的迁移能力，在ImageNet上实现95.95%的平均欺骗率，超越当前最先进方法。

ABSTRACT

Deep neural networks are vulnerable to universal adversarial perturbation (UAP), an instance-agnostic perturbation capable of fooling the target model for most samples. Compared to instance-specific adversarial examples, UAP is more challenging as it needs to generalize across various samples and models. In this paper, we examine the serious dilemma of UAP generation methods from a generalization perspective -- the gradient vanishing problem using small-batch stochastic gradient optimization and the local optima problem using large-batch optimization. To address these problems, we propose a simple and effective method called Stochastic Gradient Aggregation (SGA), which alleviates the gradient vanishing and escapes from poor local optima at the same time. Specifically, SGA employs the small-batch training to perform multiple iterations of inner pre-search. Then, all the inner gradients are aggregated as a one-step gradient estimation to enhance the gradient stability and reduce quantization errors. Extensive experiments on the standard ImageNet dataset demonstrate that our method significantly enhances the generalization ability of UAP and outperforms other state-of-the-art methods. The code is available at https://github.com/liuxuannan/Stochastic-Gradient-Aggregation.

研究动机与目标

• 探究现有通用对抗扰动（UAP）方法中泛化能力差的根本原因。
• 解决小批量UAP训练中梯度不稳定性和量化误差的双重挑战。
• 克服小批量优化（梯度消失）与大批量优化（不良局部极小值）之间的权衡问题，以提升UAP生成效果。
• 提升UAP在不同模型和样本上的迁移能力和鲁棒性。
• 开发一种简单、高效且可集成的方法，增强UAP泛化能力，且无需修改网络架构。

提出的方法

• SGA采用外-外迭代框架，每个外层步骤通过小批量样本执行多次内层预搜索。
• 在内层迭代中，计算并累积梯度，且不进行量化，以保持梯度稳定性。
• 所有内层梯度在量化和外层更新前，聚合为单一的低方差梯度估计。
• 使用聚合后的梯度更新通用扰动，减少量化误差并提升收敛方向性。
• 该方法利用小批量随机优化实现泛化，同时通过梯度聚合稳定更新并逃离尖锐局部极小值。
• SGA与现有基于梯度的UAP方法兼容，可轻松集成至如动量和模型集成等提升迁移能力的技术中。

实验结果

研究问题

• RQ1 当前通用对抗扰动生成方法中，泛化能力差的主要原因是什么？
• RQ2 梯度不稳定性与量化误差如何导致小批量UAP训练中的梯度消失？
• RQ3 梯度聚合能否有效稳定优化过程并减少UAP生成中的量化误差？
• RQ4 SGA是否能提升UAP在不同模型和数据集上的迁移能力？
• RQ5 超参数如内层批量大小和内层迭代次数如何影响SGA的性能？

主要发现

• SGA在五个标准ImageNet模型上实现了95.95%的平均欺骗率，优于当前最先进方法。
• 在集成模型设置中，该方法将攻击成功率最高提升77.11%，展现出强大的迁移能力。
• 梯度聚合显著优于扰动聚合，证明梯度层面的聚合是减少梯度偏差的关键。
• 内层批量大小为10时性能最优，表明在梯度估计的稳定性与多样性之间达到最佳平衡。
• 当内层迭代次数K=4（K为每张图像的平均遍历次数）时攻击成功率最高，表明对梯度空间的探索达到最优。
• SGA在不增加每次梯度计算计算成本的前提下提升泛化能力，保持高效性的同时增强鲁棒性。