[论文解读] GanDef: A GAN based Adversarial Training Defense for Neural Network Classifier

Guanxiong Liu, Issa Khalil+1 more|arXiv (Cornell University)|Mar 6, 2019

Adversarial Robustness in Machine Learning参考文献 22被引用 5

一句话总结

GanDef 提出了一种基于 GAN 的对抗性防御方法，利用判别器对神经网络分类器的特征学习进行正则化，从而实现在对抗样本上的鲁棒性与干净数据上的准确率之间的动态权衡。该方法在对抗样本上的测试准确率达到了最先进水平，并且在其变体 GanDef-Comb 的支持下，在对抗样本比例超过 41.7% 时优于现有防御方法。

ABSTRACT

Machine learning models, especially neural network (NN) classifiers, are widely used in many applications including natural language processing, computer vision and cybersecurity. They provide high accuracy under the assumption of attack-free scenarios. However, this assumption has been defied by the introduction of adversarial examples -- carefully perturbed samples of input that are usually misclassified. Many researchers have tried to develop a defense against adversarial examples; however, we are still far from achieving that goal. In this paper, we design a Generative Adversarial Net (GAN) based adversarial training defense, dubbed GanDef, which utilizes a competition game to regulate the feature selection during the training. We analytically show that GanDef can train a classifier so it can defend against adversarial examples. Through extensive evaluation on different white-box adversarial examples, the classifier trained by GanDef shows the same level of test accuracy as those trained by state-of-the-art adversarial training defenses. More importantly, GanDef-Comb, a variant of GanDef, could utilize the discriminator to achieve a dynamic trade-off between correctly classifying original and adversarial examples. As a result, it achieves the highest overall test accuracy when the ratio of adversarial examples exceeds 41.7%.

研究动机与目标

• 为解决神经网络分类器对对抗样本的脆弱性问题，这些样本可通过极小且难以察觉的扰动误导模型。
• 开发一种防御机制，在保持干净数据上高测试准确率的同时，增强对对抗攻击的鲁棒性。
• 在高风险或对错误行为敏感的环境中，实现在原始样本与对抗样本分类之间的动态权衡。
• 从数学上证明 GanDef 中的极小极大博弈可导出一个依赖于扰动不变特征以实现鲁棒预测的分类器。
• 通过实证验证 GanDef 在多个数据集和攻击类型下，相较于最先进对抗训练防御方法的性能表现。

提出的方法

• GanDef 构建了分类器与判别器之间的极小极大博弈，其中判别器引导特征选择以提升鲁棒性。
• 分类器通过最小化干净数据上的交叉熵损失进行训练，而判别器则学习区分真实特征与对抗性扰动后的特征。
• 关键组件是将判别器用作二级防御机制，在分类器对预测不确定时标记对抗性输入。
• GanDef-Comb 是一种变体，通过基于阈值的决策规则组合分类器与判别器的输出，实现对干净样本与对抗样本性能的动态平衡。
• 该方法在训练过程中使用 FGSM、BIM 和 PGD 攻击生成扰动，采用标准对抗训练。
• 通过调节判别器的阈值，控制干净样本与对抗样本性能之间的权衡，实现运行时的可配置性。

实验结果

研究问题

• RQ1 基于 GAN 的框架是否能在不牺牲干净数据上准确率的前提下提升对抗鲁棒性？
• RQ2 在对抗训练中引入判别器是否能实现在原始样本与对抗样本分类之间的动态权衡？
• RQ3 在不同攻击类型和对抗样本比例下，GanDef 与最先进对抗训练防御方法相比，其测试准确率如何？
• RQ4 在何种条件下，GanDef-Comb 的整体测试准确率高于现有防御方法？
• RQ5 GanDef 中的极小极大博弈是否可从数学上证明能导出一个依赖于扰动不变特征的分类器？

主要发现

• GanDef 在对抗样本上的测试准确率与最先进防御方法（如 Pure PGD、Mix PGD 和 Logit Pairing）相当或更优。
• 在 CIFAR10 数据集上，与最先进防御方法相比，GanDef-Comb 在 PGD-2 攻击下测试准确率至少提升了 25.23%。
• 当对抗样本比例超过 41.7% 时，GanDef-Comb 实现了最高的整体测试准确率，在风险敏感环境中优于现有防御方法。
• 在 MNIST 数据集上，GanDef-Comb 在原始样本以及 FGSM/BIM 攻击下的测试准确率与 GanDef 相当，且在 PGD-1 和 PGD-2 攻击下性能下降不足 0.3%。
• GanDef 中的分类器在数学上被证明会收敛到一个利用扰动不变特征的解，从而增强鲁棒性。
• GanDef-Comb 中的判别器实现了对准确率权衡的动态控制，性能可通过基于预期对抗样本比例的阈值调节进行调优。