[论文解读] Gradient Band-based Adversarial Training for Generalized Attack Immunity of A3C Path Finding

Tong Chen, Wenjia Niu+5 more|arXiv (Cornell University)|Jul 17, 2018

Adversarial Robustness in Machine Learning被引用 16

一句话总结

本文提出了一种针对强化学习中基于A3C的路径规划的新型对抗性攻击与防御框架。它引入了通用主导对抗性样本生成（CDG）方法，通过针对局部地图信息生成有效的对抗性样本，同时提出基于梯度带的对抗性训练方法，仅使用单一对抗性样本即可实现广义的'1:N'攻击免疫，平均攻击生成精度达91.91%，免疫精度达93.89%。

ABSTRACT

As adversarial attacks pose a serious threat to the security of AI system in practice, such attacks have been extensively studied in the context of computer vision applications. However, few attentions have been paid to the adversarial research on automatic path finding. In this paper, we show dominant adversarial examples are effective when targeting A3C path finding, and design a Common Dominant Adversarial Examples Generation Method (CDG) to generate dominant adversarial examples against any given map. In addition, we propose Gradient Band-based Adversarial Training, which trained with a single randomly choose dominant adversarial example without taking any modification, to realize the "1:N" attack immunity for generalized dominant adversarial examples. Extensive experimental results show that, the lowest generation precision for CDG algorithm is 91.91%, and the lowest immune precision for Gradient Band-based Adversarial Training is 93.89%, which can prove that our method can realize the generalized attack immunity of A3C path finding with a high confidence.

研究动机与目标

• 为解决自动路径规划中对抗性研究的不足，特别是A3C等强化学习系统中的问题。
• 设计一种新型对抗性样本——主导对抗性样本，其目标为局部地图信息而非全局输入。
• 开发一种防御机制，仅使用最少的对抗性数据即可实现广义的'1:N'攻击免疫。
• 在多种地图尺寸与配置下验证所提方法的有效性。

提出的方法

• 通用主导对抗性样本生成（CDG）方法通过扰动智能体当前位置周围的局部地图信息，误导A3C路径规划。
• CDG利用梯度带识别地图中对路径规划最敏感的区域，使微小扰动产生最大干扰。
• 基于梯度带的对抗性训练通过使用单个随机选择的主导对抗性样本对智能体进行训练，使其在多种未见的对抗性样本中具备泛化免疫能力。
• 该方法利用多项式时间计算实现高效生成与训练，关键组件的时间复杂度为O(kN²)。
• 通过定义上下边界函数与障碍物函数集合，对梯度带与扰动空间进行建模。
• 该防御策略无需修改对抗性样本或模型架构，仅依赖训练期间的对抗性数据注入。

实验结果

研究问题

• RQ1 通过扰动局部地图信息，主导对抗性样本能否有效干扰基于A3C的路径规划？
• RQ2 能否仅使用一个对抗性样本训练出对多种未见主导对抗性样本具备泛化免疫能力的模型？
• RQ3 与传统对抗性训练方法相比，所提方法在效率与鲁棒性方面表现如何？
• RQ4 攻击与防御的失败模式是什么？它们与地图结构及扰动位置有何关联？

主要发现

• CDG算法在10,000张随机生成的地图上实现了最低91.91%的生成精度，证明了其在生成有效对抗性样本方面的高度可靠性。
• 基于梯度带的对抗性训练实现了最低93.89%的免疫精度，证实了其在广义'1:N'攻击免疫方面的有效性。
• 与传统对抗性训练相比，该方法在时间效率上表现更优，训练时间显著减少。
• 失败攻击主要发生在扰动添加于起点或终点附近时，因为这些区域的局部地图动态对微小变化不敏感。
• 免疫失败情况最常出现在梯度带沿线障碍物密度高的区域，导致防御效果降低。
• 该方法在10种不同地图尺寸类别中均表现出鲁棒性，攻击成功率与免疫精度保持稳定高位。