[论文解读] Featurized Bidirectional GAN: Adversarial Defense via Adversarially Learned Semantic Inference

Ruying Bao, Sihang Liang+1 more|arXiv (Cornell University)|May 21, 2018

Adversarial Robustness in Machine Learning参考文献 21被引用 12

一句话总结

该论文提出特征化双向生成对抗网络（FBGAN），一种防御方法，通过在数据与低维语义潜在空间之间学习对抗性双向映射，提取鲁棒特征并从对抗性输入中重建干净图像。通过最大化潜在码与生成图像之间的互信息，FBGAN实现语义特征解耦，从而在ε=0.3时对MNIST实现82%的准确率、对FMNIST实现44%的准确率，有效防御白盒和灰盒攻击。

ABSTRACT

Deep neural networks have been demonstrated to be vulnerable to adversarial attacks, where small perturbations intentionally added to the original inputs can fool the classifier. In this paper, we propose a defense method, Featurized Bidirectional Generative Adversarial Networks (FBGAN), to extract the semantic features of the input and filter the non-semantic perturbation. FBGAN is pre-trained on the clean dataset in an unsupervised manner, adversarially learning a bidirectional mapping between the high-dimensional data space and the low-dimensional semantic space; also mutual information is applied to disentangle the semantically meaningful features. After the bidirectional mapping, the adversarial data can be reconstructed to denoised data, which could be fed into any pre-trained classifier. We empirically show the quality of reconstruction images and the effectiveness of defense.

研究动机与目标

• 解决深度神经网络对利用非语义、低层次特征的对抗攻击的脆弱性。
• 开发一种无需重新训练分类器的防御机制，通过在分类前对输入进行去噪处理。
• 改进对抗训练和梯度掩蔽等现有防御方法，这些方法存在计算成本高或虚假安全的问题。
• 利用生成建模实现语义特征提取与图像重建，受人类对鲁棒高层特征感知的启发。
• 通过互信息正则化实现紧凑且解耦的潜在空间，从而实现有效防御。

提出的方法

• FBGAN采用包含编码器E、生成器G和判别器D的双向生成对抗网络架构，实现数据空间与潜在空间之间的端到端映射。
• 模型在干净数据上以无监督方式预训练，学习输入图像与潜在码之间的联合分布。
• 通过最大化潜在码z与生成图像G(z)之间的互信息，实现语义特征的解耦，使其分离为独立成分（如数字类别、笔画粗细等）。
• 通过编码器E从对抗性输入中提取语义码，并通过G生成重建图像，从而滤除非语义扰动。
• 在白盒防御中，模型应用正则化策略：对类别码使用独热编码，对连续码使用截断处理，以稳定潜在表示。
• 将重建后的图像输入任意预训练分类器，实现无需修改分类器架构的防御。

实验结果

研究问题

• RQ1 具备双向映射与互信息正则化的生成模型能否有效提取对对抗扰动鲁棒的语义特征？
• RQ2 与标准BiGAN相比，互信息最大化在潜在空间中如何提升语义特征的解耦程度？
• RQ3 FBGAN在多大程度上能够从对抗性输入中重建出保留语义内容的干净图像？
• RQ4 FBGAN在不同数据集上对白盒与灰盒对抗攻击的防御效果如何？
• RQ5 FBGAN为何在MNIST和FMNIST上表现优于SVHN？这是否可归因于数据模式的复杂性？

主要发现

• 在ε=0.3的白盒PGD攻击下，FBGAN在MNIST上实现82%的分类准确率，在FMNIST上实现44%的准确率，展现出强大的防御性能。
• 该模型成功重建了对抗性图像，保留了语义内容（如数字类别、倾斜角度），同时去除了类似噪声的扰动。
• 互信息正则化使FBGAN能够将语义特征解耦为紧凑的潜在空间（10个类别码 + 4个连续码），而BiGAN需要128个以上的码且存在特征纠缠。
• 即使在收敛时，原始BiGAN也无法实现语义特征的解耦，凸显了FBGAN中显式互信息正则化的必要性。
• SVHN性能下降归因于高模式复杂性与背景变化，表明数据分布的复杂性会影响重建质量与防御鲁棒性。