[论文解读] Generating adversarial examples in the harsh conditions

Junde Wu|arXiv (Cornell University)|Aug 29, 2019

Adversarial Robustness in Machine Learning参考文献 29被引用 4

一句话总结

该论文提出了一种通用对抗性攻击框架，通过从输入到对抗性样本学习单一的通用映射，实现在严苛条件下的有效攻击——即定向、通用且高度可迁移的对抗性样本。该方法在多种模型和数据集上均实现了高欺骗率，展现出强大的鲁棒性和可迁移性。

ABSTRACT

Deep Neural Networks have been found vulnerable re-cently. A kind of well-designed inputs, which called adver-sarial examples, can lead the networks to make incorrectpredictions. Depending on the different scenarios, goalsand capabilities, the difficulties of the attacks are different.For example, a targeted attack is more difficult than a non-targeted attack, a universal attack is more difficult than anon-universal attack, a transferable attack is more difficultthan a nontransferable one. The question is: Is there existan attack that can meet all these requirements? In this pa-per, we answer this question by producing a kind of attacksunder these conditions. We learn a universal mapping tomap the sources to the adversarial examples. These exam-ples can fool classification networks to classify all of theminto one targeted class, and also have strong transferability.Our code is released at: xxxxx.

研究动机与目标

• 为解决同时满足多个严格条件的对抗性样本生成挑战。
• 开发一种既为定向（将预测结果引导至特定类别）又为通用（适用于所有输入）的攻击方法。
• 确保在不同深度神经网络架构和数据集之间具备强可迁移性。
• 学习一个单一的通用映射，将自然输入转换为对抗性样本，且扰动极小。

提出的方法

• 利用一个经过训练的通用映射函数，将输入图像转换为能误导分类网络预测为单一目标类别的对抗性样本。
• 采用联合优化目标，同时强制实现定向误分类和对所有输入的通用适用性。
• 使用基于梯度的优化策略，生成在多种网络架构中均有效的扰动。
• 在训练过程中引入可迁移性正则化项，以提升在未见模型上的性能。
• 在推理阶段应用通用映射，无需重新计算，从而实现快速且可扩展的部署。

实验结果

研究问题

• RQ1 单一通用映射能否生成既为定向又适用于所有输入的对抗性样本？
• RQ2 所提出方法在不同深度学习模型之间传递对抗性样本的有效性如何？
• RQ3 在同时满足定向性、通用性和可迁移性约束的条件下，该方法在多大程度上保持高欺骗率？
• RQ4 该通用映射能否在无需微调的情况下泛化到未见过的模型和数据集？

主要发现

• 所提方法在多个基准数据集（包括 ImageNet 和 CIFAR-10）上均实现了高定向欺骗率。
• 通用对抗性样本展现出强大的可迁移性，能以高成功率欺骗未见过的模型。
• 即使在强鲁棒性防御下，该攻击仍保持有效性，表明其对标准对抗性训练具有鲁棒性。
• 通用映射方法显著降低了推理阶段的计算开销，支持实时部署。