[论文解读] Is Robustness the Cost of Accuracy? -- A Comprehensive Study on the Robustness of 18 Deep Image Classification Models

Dong Su, Huan Zhang+4 more|arXiv (Cornell University)|Aug 5, 2018

Adversarial Robustness in Machine Learning参考文献 50被引用 8

一句话总结

本文通过多种对抗性攻击方法和鲁棒性度量，研究了18种最先进ImageNet模型在准确率与鲁棒性之间的权衡。研究发现对抗性扰动与分类误差的对数之间存在强烈的线性关系，揭示了模型架构对鲁棒性的影响大于模型大小，并识别出VGG模型在不同架构间具有极高的可迁移性，为模型设计提供了新的准确率-鲁棒性帕累托前沿。

ABSTRACT

The prediction accuracy has been the long-lasting and sole standard for comparing the performance of different image classification models, including the ImageNet competition. However, recent studies have highlighted the lack of robustness in well-trained deep neural networks to adversarial examples. Visually imperceptible perturbations to natural images can easily be crafted and mislead the image classifiers towards misclassification. To demystify the trade-offs between robustness and accuracy, in this paper we thoroughly benchmark 18 ImageNet models using multiple robustness metrics, including the distortion, success rate and transferability of adversarial examples between 306 pairs of models. Our extensive experimental results reveal several new insights: (1) linear scaling law - the empirical $\ell_2$ and $\ell_\infty$ distortion metrics scale linearly with the logarithm of classification error; (2) model architecture is a more critical factor to robustness than model size, and the disclosed accuracy-robustness Pareto frontier can be used as an evaluation criterion for ImageNet model designers; (3) for a similar network architecture, increasing network depth slightly improves robustness in $\ell_\infty$ distortion; (4) there exist models (in VGG family) that exhibit high adversarial transferability, while most adversarial examples crafted from one model can only be transferred within the same family. Experiment code is publicly available at \url{https://github.com/huanzhang12/Adversarial_Survey}.

研究动机与目标

• 探究高准确率深度学习模型是否以牺牲对抗攻击下的鲁棒性为代价。
• 识别影响对抗鲁棒性的关键因素，如模型大小、深度和架构。
• 通过构建准确率-鲁棒性帕累托前沿，建立鲁棒性评估的基准。
• 分析对抗性样本在不同模型族和架构之间的可迁移性。
• 提供一个公开可用的代码库，以支持ImageNet模型鲁棒性评估的可复现性。

提出的方法

• 在包括AlexNet、VGG、ResNet、DenseNet、MobileNet和NASNet在内的多种架构中，基准测试了18个预训练的ImageNet模型。
• 使用无目标和有目标的对抗性攻击（I-FGSM、C&W和EAD-L1）评估鲁棒性，扰动幅度（ε）在ℓ₂和ℓ∞范数下变化。
• 通过三种度量方法衡量鲁棒性：对抗性扰动（ℓ₂和ℓ∞）、攻击成功率，以及模型对之间的可迁移性（共306对）。
• 利用WordNet层次结构验证攻击中使用“最不可能标签”时语义上不相关，从而最小化标签敏感性偏差。
• 应用与攻击无关的鲁棒性估计技术，包括Lipschitz常数分析和极值理论，以交叉验证研究发现。
• 基于实证结果构建准确率-鲁棒性帕累托前沿，以指导未来模型设计。

实验结果

研究问题

• RQ1 ImageNet模型的更高分类准确率是否与对抗攻击下的鲁棒性降低相关？
• RQ2 模型架构、大小和深度如何影响不同模型的对抗鲁棒性？
• RQ3 对抗性样本在不同架构和模型族之间转移的程度如何？
• RQ4 能否通过可扩展的度量方法，基于分类误差预测模型的鲁棒性？
• RQ5 能否利用对抗性可迁移性来反向推导黑箱模型的架构？

主要发现

• 观察到强烈的线性缩放规律：ℓ₂和ℓ∞对抗性扰动度量与分类误差的对数呈线性关系，表明准确率更高的模型对小扰动更敏感。
• 模型架构是鲁棒性的更关键决定因素，而非模型大小；同一家族的模型（如VGG、ResNet）表现出相似的鲁棒性特征。
• 对于ResNet、Inception和DenseNet家族，增加深度可带来轻微但一致的ℓ∞鲁棒性提升。
• VGG家族模型生成的对抗性样本具有极高的可迁移性——这些样本能成功欺骗其余17个模型，表明对抗行为中存在架构特征。
• 非VGG模型生成的对抗性样本通常仅在其自身架构家族内可迁移，表明架构相似性增强了可迁移性。
• 本研究建立了公开可用的准确率-鲁棒性帕累托前沿，可作为未来ImageNet模型评估与设计的新基准。