[论文解读] Generalizable Data-free Objective for Crafting Universal Adversarial Perturbations

Konda Reddy Mopuri, Aditya Ganeshan+1 more|arXiv (Cornell University)|Jan 24, 2018

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本文提出了一种无需数据的、可泛化的目标函数，用于生成通用对抗扰动（UAP），可在不访问训练数据的情况下，使深度神经网络在多种视觉任务中失效。通过利用扰动对输入特征的影响与其对特征表示影响之间的相关性，该方法仅使用图像均值和动态范围等简单先验，即可实现高达77.77%的欺骗率（在ImageNet分类任务上）。

ABSTRACT

Machine learning models are susceptible to adversarial perturbations: small changes to input that can cause large changes in output. It is also demonstrated that there exist input-agnostic perturbations, called universal adversarial perturbations, which can change the inference of target model on most of the data samples. However, existing methods to craft universal perturbations are (i) task specific, (ii) require samples from the training data distribution, and (iii) perform complex optimizations. Additionally, because of the data dependence, fooling ability of the crafted perturbations is proportional to the available training data. In this paper, we present a novel, generalizable and data-free approaches for crafting universal adversarial perturbations. Independent of the underlying task, our objective achieves fooling via corrupting the extracted features at multiple layers. Therefore, the proposed objective is generalizable to craft image-agnostic perturbations across multiple vision tasks such as object recognition, semantic segmentation, and depth estimation. In the practical setting of black-box attack scenario (when the attacker does not have access to the target model and it's training data), we show that our objective outperforms the data dependent objectives to fool the learned models. Further, via exploiting simple priors related to the data distribution, our objective remarkably boosts the fooling ability of the crafted perturbations. Significant fooling rates achieved by our objective emphasize that the current deep learning models are now at an increased risk, since our objective generalizes across multiple tasks without the requirement of training data for crafting the perturbations. To encourage reproducible research, we have released the codes for our proposed algorithm.

研究动机与目标

• 解决现有通用对抗扰动（UAP）方法依赖训练数据且在黑盒设置下表现不佳的局限性。
• 开发一种可泛化的目标函数，以在图像分类、语义分割和深度估计等多样化计算机视觉任务中生成有效的UAP。
• 通过消除对目标模型训练数据的依赖，实现在黑盒攻击中的高效性，同时保持高欺骗率。
• 探索仅基于数据分布的最小先验（如均值、动态范围）如何在无需实际数据样本的情况下增强扰动强度。
• 通过利用特征级相关性而非局部线性假设，证明所提目标在模型和任务间具有泛化能力。

提出的方法

• 提出一种无需数据的目标函数，通过最大化扰动引起的特征表示变化的L2范数||f(x+δ)−f(x)||₂，而无需访问训练数据。
• 利用||f(x+δ)−f(x)||₂与||f(δ)||₂之间的强相关性（其中f为特征提取器），而非依赖网络的局部线性性。
• 采用简单的优化过程，生成能最大化分类层（fc₈）激活相对变化的扰动，该变化与欺骗率高度相关。
• 通过引入图像均值和动态范围等最小先验，即使在无真实数据的情况下，也能增强扰动强度。
• 在相同扰动下，将同一目标函数应用于多个任务（分类、分割、深度估计），展示了跨任务的泛化能力。
• 采用基于梯度的优化方案，迭代优化通用扰动，确保其不可察觉性与高欺骗性能。

实验结果

研究问题

• RQ1 能否设计一种无需数据的目标函数，以在不依赖训练数据的情况下，生成在多种视觉任务中泛化的通用对抗扰动？
• RQ2 在训练数据不可用的黑盒攻击场景中，所提目标函数与依赖数据的方法相比表现如何？
• RQ3 关于数据分布的最小先验（如均值、范围）在多大程度上能提升无需数据的UAP的欺骗能力？
• RQ4 在不假设局部线性性的情况下，||f(x+δ)−f(x)||₂与||f(δ)||₂之间的相关性是否足以指导有效扰动的生成？
• RQ5 同一扰动是否能有效欺骗不同任务（如分类、分割、深度估计）中的多种模型？

主要发现

• 所提无需数据的目标函数仅使用完整数据先验，在ImageNet分类任务上实现了77.77%的欺骗率，显著优于黑盒设置下的依赖数据基线方法。
• 即使在无任何数据的情况下，该方法在ImageNet分类任务上仍实现了45.47%的欺骗率，表明其在无训练数据时仍具备强大性能。
• 引入简单先验（如图像均值和动态范围）可将欺骗率从无先验时的45.47%提升至仅使用范围先验时的63.08%，并进一步提升至使用完整数据先验时的77.77%。
• 分类层（fc₈）特征激活的相对变化与实际欺骗率高度相关，验证了方法设计选择的有效性。
• 该方法具备跨任务泛化能力：在语义分割（FCN-8s-VGG）和深度估计（Monodepth-VGG）任务中均成功欺骗模型，仅在复杂场景中出现失败案例。
• ||f(x+δ)−f(x)||₂与||f(δ)||₂之间的相关性强且稳定，证实该方法有效利用了特征级动态特性，而非依赖局部线性假设。