[论文解读] Label Smoothing and Adversarial Robustness

Chaohao Fu, Hongbin Chen+2 more|arXiv (Cornell University)|Sep 17, 2020

Adversarial Robustness in Machine Learning参考文献 22被引用 10

一句话总结

本文研究标签平滑作为对抗梯度攻击的防御机制，表明其通过改变模型优化动态，显著提升了鲁棒准确率（例如，在PGD攻击下CIFAR-10的准确率为75.10%）。然而，研究发现这种鲁棒性极不稳定，极易被改进的攻击策略绕过，表明标签平滑并未提供真正或一致的对抗鲁棒性。

ABSTRACT

Recent studies indicate that current adversarial attack methods are flawed and easy to fail when encountering some deliberately designed defense. Sometimes even a slight modification in the model details will invalidate the attack. We find that training model with label smoothing can easily achieve striking accuracy under most gradient-based attacks. For instance, the robust accuracy of a WideResNet model trained with label smoothing on CIFAR-10 achieves 75% at most under PGD attack. To understand the reason underlying the subtle robustness, we investigate the relationship between label smoothing and adversarial robustness. Through theoretical analysis about the characteristics of the network trained with label smoothing and experiment verification of its performance under various attacks. We demonstrate that the robustness produced by label smoothing is incomplete based on the fact that its defense effect is volatile, and it cannot defend attacks transferred from a naturally trained model. Our study enlightens the research community to rethink how to evaluate the model's robustness appropriately.

研究动机与目标

• 探究标签平滑是否提供真正而非表面的对抗鲁棒性。
• 分析标签平滑如何影响模型优化与梯度行为的理论机制。
• 评估标签平滑模型在多种攻击策略（包括迁移攻击）下的鲁棒性。
• 质疑当前对抗鲁棒性评估方法（尤其是PGD与CW）的有效性。
• 强调迫切需要更系统、更高效的攻击方法，以公平评估模型鲁棒性。

提出的方法

• 在交叉熵损失计算中，使用平滑的均匀标签向量替代独热编码标签，训练深度神经网络。
• 理论分析聚焦于标签平滑如何通过软化logits与输出分布，改变梯度方向与优化景观。
• 在MNIST、CIFAR-10与CIFAR-100上进行大量实验，采用PGD、FGSM与CW攻击，测试不同超参数（步长、重启次数、初始化方式）下的表现。
• 评估自然训练模型生成的对抗样本向标签平滑模型的迁移能力，以检验鲁棒性的稳定性。
• 使用边缘损失与标准CW攻击变体进行对比，评估损失函数选择对鲁棒性评估的影响。
• 通过调整攻击超参数进行消融研究，测试标签平滑模型对优化动态的敏感性。

实验结果

研究问题

• RQ1 标签平滑是否真正提升了对抗鲁棒性，还是仅仅利用了标准梯度攻击的弱点？
• RQ2 标签平滑如何改变深度神经网络中的优化轨迹与梯度方向？
• RQ3 能否通过自然训练模型生成的对抗样本，可靠地攻击标签平滑模型（即迁移攻击）？
• RQ4 为何标准攻击方法（如PGD与CW）无法可靠地为标签平滑模型找到对抗样本？
• RQ5 标签平滑模型的鲁棒性在多大程度上依赖于攻击超参数（如步长与重启次数）？

主要发现

• 在PGD攻击下，标签平滑在CIFAR-10上实现了75.10%的鲁棒准确率，显著优于标准模型（0%）与多数防御基线。
• 在CIFAR-100上，标签平滑模型的鲁棒准确率为34.23%，而未平滑模型仅为0.03%。
• 从自然训练模型发起的迁移攻击在标签平滑模型上的PGD攻击中取得了85.15%的成功率，表明其对跨模型攻击存在脆弱性。
• 增加PGD的步长或添加重启机制后，鲁棒准确率从75.10%降至8.15%，表明标签平滑的鲁棒性极不稳定。
• CW攻击在标签平滑模型上实现了87.90%的迁移成功率，表明基于边缘损失的攻击可有效绕过标签平滑防御。
• 标签平滑并未提供稳定或一致的鲁棒性，其防御效果在攻击超参数或初始化策略发生微小扰动时即告消失。