[论文解读] Generating Semantic Adversarial Examples via Feature Manipulation

Shuo Wang, ‪Surya Nepal‬+4 more|arXiv (Cornell University)|Jan 6, 2020

Adversarial Robustness in Machine Learning参考文献 33被引用 10

一句话总结

本文提出了一种新颖的对抗性攻击方法，通过在变分自编码器（VAE）的解耦潜在空间中操纵解耦潜在码，生成语义上有意义且自然外观的扰动。通过针对主题无关属性（如字体样式和大小）进行攻击，该方法在黑盒设置下仍能实现细粒度控制和高迁移性，展示了通用、与图像无关的语义对抗性样本的存在。

ABSTRACT

The vulnerability of deep neural networks to adversarial attacks has been widely demonstrated (e.g., adversarial example attacks). Traditional attacks perform unstructured pixel-wise perturbation to fool the classifier. An alternative approach is to have perturbations in the latent space. However, such perturbations are hard to control due to the lack of interpretability and disentanglement. In this paper, we propose a more practical adversarial attack by designing structured perturbation with semantic meanings. Our proposed technique manipulates the semantic attributes of images via the disentangled latent codes. The intuition behind our technique is that images in similar domains have some commonly shared but theme-independent semantic attributes, e.g. thickness of lines in handwritten digits, that can be bidirectionally mapped to disentangled latent codes. We generate adversarial perturbation by manipulating a single or a combination of these latent codes and propose two unsupervised semantic manipulation approaches: vector-based disentangled representation and feature map-based disentangled representation, in terms of the complexity of the latent codes and smoothness of the reconstructed images. We conduct extensive experimental evaluations on real-world image data to demonstrate the power of our attacks for black-box classifiers. We further demonstrate the existence of a universal, image-agnostic semantic adversarial example.

研究动机与目标

• 解决传统像素级对抗性攻击中可解释性和可控性不足的问题。
• 开发一种结构化、基于属性的对抗性攻击，以保持视觉自然性和人类可解释性。
• 在变分自编码器（VAE）的潜在空间中实现对语义属性（如字体样式、大小）的细粒度、解耦操纵。
• 证明通用、与图像无关的语义对抗性样本的存在性及其在不同类别间的迁移能力。
• 在语义上有意义的扰动下评估黑盒分类器的鲁棒性。

提出的方法

• 利用解耦变分自编码器（VAE）学习一个解耦的潜在表示，其中每个维度对应一个特定的语义属性。
• 应用两种无监督解耦技术：基于向量的解耦表示和基于特征图的解耦表示，以提升控制精度和重建质量。
• 通过扰动对应于主题无关属性（如字体样式、大小）的特定潜在码来生成对抗性样本，同时保持物体身份不变。
• 采用通用扰动策略，生成一个单一的、与图像无关的对抗性扰动，适用于多个样本。
• 利用解耦潜在空间确保在属性操纵过程中实现平滑、自然的视觉过渡。
• 使用真实世界图像数据集在黑盒分类器上评估攻击性能，测量误分类率和迁移性。

实验结果

研究问题

• RQ1 解耦潜在表示能否实现在语义属性层面的细粒度、可解释且自然外观的对抗性扰动？
• RQ2 语义对抗性样本在多大程度上可以跨不同图像迁移，即使扰动未针对特定输入进行定制？
• RQ3 所提出方法在生成通用、与图像无关的语义对抗性样本方面的有效性如何？
• RQ4 该攻击能否在保持视觉合理性与语义一致性的前提下成功欺骗黑盒分类器？
• RQ5 潜在空间的解耦质量在多大程度上影响对抗性攻击的可控性与鲁棒性？

主要发现

• 所提方法成功生成了视觉自然且语义上有意义的对抗性样本，扰动被限制在主题无关属性（如字体样式、大小）上。
• 该攻击在黑盒分类器上实现了高误分类率，证明了其在不同图像和模型间的强迁移能力。
• 成功生成了一个通用的、与图像无关的语义对抗性样本，能以高置信度对数据集中多个样本造成误分类。
• 基于特征图的解耦表示在重建质量与视觉平滑度方面优于基于向量的方法。
• 即使受害者模型未接触生成模型的训练数据，该攻击仍保持有效性，证实了其在黑盒设置下的鲁棒性。
• 该方法揭示了深度神经网络对人类难以察觉且可解释的细粒度、属性级扰动存在显著脆弱性。