[论文解读] Learning Transferable Adversarial Examples via Ghost Networks

Yingwei Li, Song Bai+4 more|arXiv (Cornell University)|Dec 9, 2018

Adversarial Robustness in Machine Learning参考文献 42被引用 13

一句话总结

本文提出Ghost Networks，通过在单个基础模型的特征层应用扰动（网络侵蚀）生成大量多样化、虚拟的模型，从而实现高度可迁移的对抗性样本。通过纵向集成融合这些虚拟模型，该方法在计算成本极低的情况下显著提升了黑箱攻击性能，在黑箱设置下平均优于NeurIPS 2017对抗挑战赛的最高提交方案6.02%。

ABSTRACT

Recent development of adversarial attacks has proven that ensemble-based methods outperform traditional, non-ensemble ones in black-box attack. However, as it is computationally prohibitive to acquire a family of diverse models, these methods achieve inferior performance constrained by the limited number of models to be ensembled. In this paper, we propose Ghost Networks to improve the transferability of adversarial examples. The critical principle of ghost networks is to apply feature-level perturbations to an existing model to potentially create a huge set of diverse models. After that, models are subsequently fused by longitudinal ensemble. Extensive experimental results suggest that the number of networks is essential for improving the transferability of adversarial examples, but it is less necessary to independently train different networks and ensemble them in an intensive aggregation way. Instead, our work can be used as a computationally cheap and easily applied plug-in to improve adversarial approaches both in single-model and multi-model attack, compatible with residual and non-residual networks. By reproducing the NeurIPS 2017 adversarial competition, our method outperforms the No.1 attack submission by a large margin, demonstrating its effectiveness and efficiency. Code is available at https://github.com/LiYingwei/ghost-network.

研究动机与目标

• 解决为黑箱对抗攻击训练和集成多个多样化模型所带来的高计算成本问题。
• 在不依赖独立训练多个模型的前提下，提升对抗性样本的迁移能力。
• 开发一种轻量级、即插即用的方法，以增强单模型和多模型攻击的性能。
• 证明集成中内在模型的数量比通过独立训练获得的多样性更为关键。

提出的方法

• Ghost Networks是通过在单个基础模型的中间层实时应用特征级扰动（侵蚀）生成的虚拟模型，无需训练或存储这些模型。
• 网络侵蚀应用于残差单元或其他层（如批归一化、ReLU）以生成多样化的模型变体。
• 提出纵向集成作为融合策略，在攻击迭代过程中隐式结合来自Ghost网络的梯度，避免了显式模型平均的复杂性。
• 该方法兼容多种攻击算法（如I-FGSM、MI-FGSM）和网络架构（残差与非残差结构）。
• 通过利用单个基础模型模拟大量内在模型，实现了对抗性样本的高效生成。
• 该方法为即插即用型，适用于白箱和黑箱攻击场景，并可与标准模型及对抗性训练模型配合使用。

实验结果

研究问题

• RQ1 单个基础模型能否生成大量多样化虚拟模型以提升对抗迁移能力？
• RQ2 集成中内在模型的数量是否比通过独立训练获得的多样性更为重要？
• RQ3 轻量级、隐式的集成策略（纵向集成）能否在不损失性能的前提下替代显式模型平均？
• RQ4 Ghost Networks能否在极低计算开销下同时增强单模型和多模型的黑箱攻击性能？

主要发现

• Ghost Networks将NeurIPS 2017最高提交方案的平均黑箱攻击成功率从33.57%提升至39.59%，提升6.02%。
• 在iyswim防御模型上，提升幅度达9.08%，表明其在多样化防御机制下具有强大的泛化能力。
• 在实验M5中，仅使用一个基础模型但生成30个内在Ghost网络，其性能比使用三个独立训练模型的实验M2在MI-FGSM下高出6.70%。
• 在三个对抗性训练模型上测试时，攻击成功率从79.32%（MI-FGSM）提升至87.14%（使用Ghost Networks）。
• 该方法在NeurIPS 2017对抗挑战赛基准中达到最先进性能，超越官方排名第一的提交方案。
• Ghost Networks计算效率高，兼容多种架构、攻击方法和防御机制。