[论文解读] Generating Natural Adversarial Hyperspectral examples with a modified Wasserstein GAN

Jean-Christophe Burnel, Kilian Fatras+1 more|arXiv (Cornell University)|Jan 27, 2020

Digital Imaging for Blood Diseases参考文献 1被引用 4

一句话总结

本文提出了一种改进的Wasserstein GAN，可在不依赖目标分类器梯度的情况下生成自然的对抗性高光谱样本，而是仅使用其预测结果。通过基于分类器置信度重新加权真实数据分布，生成器学习生成逼真且被错误分类的光谱，即使在高精度分类器上也能实现高达99%的成功率。

ABSTRACT

Adversarial examples are a hot topic due to their abilities to fool a classifier's prediction. There are two strategies to create such examples, one uses the attacked classifier's gradients, while the other only requires access to the clas-sifier's prediction. This is particularly appealing when the classifier is not full known (black box model). In this paper, we present a new method which is able to generate natural adversarial examples from the true data following the second paradigm. Based on Generative Adversarial Networks (GANs) [5], it reweights the true data empirical distribution to encourage the classifier to generate ad-versarial examples. We provide a proof of concept of our method by generating adversarial hyperspectral signatures on a remote sensing dataset.

研究动机与目标

• 在不访问目标分类器梯度的情况下，生成高光谱数据的自然对抗性样本。
• 开发一种仅依赖分类器预测的黑盒对抗性样本生成方法。
• 提升遥感应用中对抗性样本的真实感与鲁棒性。
• 在2018年数据融合竞赛的真实高光谱数据上评估该方法。
• 与最先进的基于GAN的对抗性样本生成方法在对抗性成功率和数据保真度方面进行比较。

提出的方法

• 该方法使用改进的WGAN并引入梯度惩罚，以在判别器上强制执行1-Lipschitz约束，确保训练稳定。
• 通过为分类器置信度较低的样本分配更高权重，构建重加权的真实数据分布，引导生成器向对抗性样本方向学习。
• 生成器被训练为将潜在向量映射为既逼真又会被目标模型错误分类的高光谱特征。
• 判别器被训练以区分真实数据与生成的对抗性样本，损失函数经过修改以强调被错误分类的样本。
• 生成器被优化以最小化生成光谱与重加权真实数据分布之间的距离，从而提升样本的自然性。
• 该方法在黑盒设置下运行，仅需模型预测结果，无需梯度或网络结构细节。

实验结果

研究问题

• RQ1 是否可以在不访问目标分类器梯度的情况下生成自然的对抗性高光谱样本？
• RQ2 基于分类器置信度的重加权数据分布在引导生成器生成对抗性样本方面有多有效？
• RQ3 所提出的基于WGAN的方法能否生成逼真的对抗性光谱，以欺骗高精度分类器？
• RQ4 与现有基于GAN的对抗性样本生成技术相比，该方法在成功率和光谱保真度方面表现如何？
• RQ5 该方法在不同类别间是否具有泛化能力，尤其在分类器准确率不同时？

主要发现

• 对于原始分类器准确率为5%的Crosswalks类别，该方法在对抗性样本生成中达到了99%的成功率。
• 对于Car类别，其原始分类器准确率为39%，该方法在10次运行中实现了81%的成功率。
• 对于Healthy Grass类别，其原始分类器准确率为82%，该方法实现了66%的成功率，表明其在相对高精度模型上依然有效。
• 生成的对抗性光谱在光谱均值和标准差上与目标类别高度匹配，表明其具备高度的真实感与保真度。
• 与文献[9]中的最先进方法相比，所提方法生成的对抗性光谱更清晰、更逼真，尤其在低准确率类别（如Crosswalks）中表现更优。
• 该方法成功为所有测试类别生成了对抗性样本，包括基线方法完全失败的类别（例如，Car类别在10,000次迭代下运行100次均未成功）。