[论文解读] Foolbox v0.8.0: A Python toolbox to benchmark the robustness of machine learning models

Jonas Rauber, Wieland Brendel+1 more|arXiv (Cornell University)|Jul 13, 2017

Adversarial Robustness in Machine Learning参考文献 9被引用 349

一句话总结

Foolbox v0.8.0 是一个 Python 工具箱，旨在通过测量使机器学习模型失效所需的最小扰动，生成对抗性扰动并基准化模型的鲁棒性。它支持多种深度学习框架，实现多种攻击方法并内置超参数调优，并可通过不同的对抗性标准和距离度量进行对比评估。

ABSTRACT

Even todays most advanced machine learning models are easily fooled by almost imperceptible perturbations of their inputs. Foolbox is a new Python package to generate such adversarial perturbations and to quantify and compare the robustness of machine learning models. It is build around the idea that the most comparable robustness measure is the minimum perturbation needed to craft an adversarial example. To this end, Foolbox provides reference implementations of most published adversarial attack methods alongside some new ones, all of which perform internal hyperparameter tuning to find the minimum adversarial perturbation. Additionally, Foolbox interfaces with most popular deep learning frameworks such as PyTorch, Keras, TensorFlow, Theano and MXNet and allows different adversarial criteria such as targeted misclassification and top-k misclassification as well as different distance measures. The code is licensed under the MIT license and is openly available at this https URL . The most up-to-date documentation can be found at this http URL .

研究动机与目标

• 为在各种机器学习模型上生成对抗性样本提供统一且易于访问的工具。
• 通过测量生成对抗性样本所需的最小扰动，实现模型鲁棒性的定量比较。
• 支持包括 PyTorch、Keras、TensorFlow、Theano 和 MXNet 在内的多种深度学习框架。
• 提供灵活的对抗性标准，如定向误分类和 top-k 误分类。
• 通过标准化的距离度量和攻击方法的参考实现，促进可复现的鲁棒性评估。

提出的方法

• Foolbox 实现了已发表的对抗性攻击方法的参考版本，涵盖既有的和新颖的方法。
• 针对每种攻击方法执行内部超参数调优，以在仍能成功生成对抗性样本的前提下最小化扰动大小。
• 通过标准化的模型接口支持多种深度学习框架，实现广泛的兼容性。
• 允许用户定义不同的对抗性标准，例如将样本误分类为特定目标类别或任意 top-k 类别。
• 使用 L2 或 L∞ 范数等距离度量来量化扰动大小，确保鲁棒性测量的一致性。
• 代码库以 MIT 许可证开源，线上提供全面的文档。

实验结果

研究问题

• RQ1 使用标准对抗性攻击方法，使给定机器学习模型失效所需的最小扰动是多少？
• RQ2 不同对抗性攻击方法在实现误分类所需最小扰动方面如何比较？
• RQ3 在统一框架下，模型鲁棒性在多大程度上可以被定量测量和比较？
• RQ4 Foolbox 在保持一致评估标准的同时，如何有效集成到多种深度学习框架中？
• RQ5 在各类攻击方法中进行内部超参数调优，是否能一致地获得最小对抗性扰动，以支持鲁棒性基准测试？

主要发现

• Foolbox 能够为任意给定模型识别出最小对抗性扰动，提供标准化的鲁棒性度量。
• 该工具箱成功集成到主要深度学习框架中，包括 PyTorch、Keras、TensorFlow、Theano 和 MXNet。
• 在各类攻击方法中进行内部超参数调优，能一致地减小扰动大小，提升鲁棒性测量的准确性。
• 支持多种对抗性标准（如定向误分类和 top-k 误分类）增强了鲁棒性评估的灵活性。
• Foolbox 的开源特性（MIT 许可证）促进了研究的可复现性，并推动了对抗鲁棒性研究的社区协作扩展。
• 全面的文档和积极的维护工作确保了研究人员和实践者都能轻松访问和使用该工具。