[论文解读] Generalized Likelihood Ratio Test for Adversarially Robust Hypothesis Testing

Bhagyashree Puranik, Upamanyu Madhow+1 more|arXiv (Cornell University)|Dec 4, 2021

Adversarial Robustness in Machine Learning参考文献 23被引用 4

一句话总结

该论文提出了一种广义似然比检验（GLRT）防御方法，用于对抗性鲁棒性假设检验，通过将真实类别和对抗性扰动联合估计为干扰参数。结果表明，该GLRT在ℓ∞-有界攻击下渐近达到极小化极大性能，并在非渐近区域中优于极小化极大防御方法，展现出更优的鲁棒性-准确率权衡，尤其在较弱攻击下表现更优。

ABSTRACT

Machine learning models are known to be susceptible to adversarial attacks which can cause misclassification by introducing small but well designed perturbations. In this paper, we consider a classical hypothesis testing problem in order to develop fundamental insight into defending against such adversarial perturbations. We interpret an adversarial perturbation as a nuisance parameter, and propose a defense based on applying the generalized likelihood ratio test (GLRT) to the resulting composite hypothesis testing problem, jointly estimating the class of interest and the adversarial perturbation. While the GLRT approach is applicable to general multi-class hypothesis testing, we first evaluate it for binary hypothesis testing in white Gaussian noise under $\ell_{\infty}$ norm-bounded adversarial perturbations, for which a known minimax defense optimizing for the worst-case attack provides a benchmark. We derive the worst-case attack for the GLRT defense, and show that its asymptotic performance (as the dimension of the data increases) approaches that of the minimax defense. For non-asymptotic regimes, we show via simulations that the GLRT defense is competitive with the minimax approach under the worst-case attack, while yielding a better robustness-accuracy tradeoff under weaker attacks. We also illustrate the GLRT approach for a multi-class hypothesis testing problem, for which a minimax strategy is not known, evaluating its performance under both noise-agnostic and noise-aware adversarial settings, by providing a method to find optimal noise-aware attacks, and heuristics to find noise-agnostic attacks that are close to optimal in the high SNR regime.

研究动机与目标

• 开发一种基于经典假设检验框架的统计上合理的方法，以应对机器学习中的对抗性攻击。
• 在复合假设检验中将对抗性扰动视为干扰参数，实现类别与扰动的联合估计。
• 提供一种通用防御框架，适用于二分类以外的场景，尤其在极小化极大策略未知的情况下。
• 分析GLRT在不同攻击强度下的鲁棒性-准确率权衡，包括弱攻击与强攻击。
• 建立理论性能边界，并证明在ℓ∞-有界扰动下，GLRT与极小化极大策略具有渐近等价性。

提出的方法

• 将对抗性鲁棒性建模为复合假设检验问题，其中对抗性扰动被视为干扰参数。
• 应用广义似然比检验（GLRT）联合估计真实类别与扰动，以在两种假设下最大化似然。
• 利用变分优化推导GLRT防御的最坏情况攻击，从而实现与极小化极大策略的性能比较。
• 通过渐近分析（高维d）证明GLRT性能趋近于已知的极小化极大防御性能。
• 在多分类场景中开发噪声感知与噪声无关的攻击启发式方法，通过条件期望与Mills比率近似计算最优攻击。
• 采用Lindeberg条件与中心极限定理论证，证明各坐标上代价差的渐近正态性。

实验结果

研究问题

• RQ1 在ℓ∞-有界扰动下，GLRT框架能否在对抗性鲁棒性二元假设检验中实现极小化极大性能？
• RQ2 在不同攻击预算下，GLRT防御与极小化极大防御在鲁棒性-准确率权衡方面有何差异？
• RQ3 随着数据维度增加，GLRT的渐近性能如何？其是否收敛至极小化极大风险？
• RQ4 在极小化极大策略未知的多分类场景中，如何构建最优的噪声感知与噪声无关攻击？
• RQ5 由于联合估计了类别与扰动，GLRT防御是否比悲观的极小化极大策略更能适应弱攻击？

主要发现

• 当数据维度 d → ∞ 时，GLRT防御在ℓ∞-有界攻击下渐近达到与已知极小化极大防御相同的性能。
• 在非渐近区域中，GLRT在鲁棒性-准确率权衡方面优于极小化极大防御，尤其在弱攻击下表现更优。
• 当信号均值 µ ≥ 0 时，GLRT的各坐标代价差随攻击幅度 e 单调非减，表明其对攻击强度具有自适应响应。
• 当 µ < 0 时，代价差随 e 单调递减，表明GLRT根据信号极性表现出不同的适应机制。
• Lindeberg条件对各坐标代价差之和成立，支持在渐近分析中使用中心极限定理。
• 理论分析表明，平方与线性代价差的期望在极限下趋于零，支持其收敛至最优性能。