[论文解读] Local Reweighting for Adversarial Training

Ruize Gao, Feng Liu+4 more|arXiv (Cornell University)|Jun 30, 2021

Adversarial Robustness in Machine Learning参考文献 38被引用 5

一句话总结

该论文提出局部重加权对抗训练（LRAT），一种在对抗样本对内部进行实例特定重加权的方法，而非在整个数据集上进行全局重加权。通过基于攻击特定脆弱性的局部损失权重调整，LRAT 在未见过的攻击下保持了鲁棒性，在 PGD、CW 和 AutoAttack 基准测试中均优于标准对抗训练和实例重加权方法（如 GAIRAT）。

ABSTRACT

Instances-reweighted adversarial training (IRAT) can significantly boost the robustness of trained models, where data being less/more vulnerable to the given attack are assigned smaller/larger weights during training. However, when tested on attacks different from the given attack simulated in training, the robustness may drop significantly (e.g., even worse than no reweighting). In this paper, we study this problem and propose our solution--locally reweighted adversarial training (LRAT). The rationale behind IRAT is that we do not need to pay much attention to an instance that is already safe under the attack. We argue that the safeness should be attack-dependent, so that for the same instance, its weight can change given different attacks based on the same model. Thus, if the attack simulated in training is mis-specified, the weights of IRAT are misleading. To this end, LRAT pairs each instance with its adversarial variants and performs local reweighting inside each pair, while performing no global reweighting--the rationale is to fit the instance itself if it is immune to the attack, but not to skip the pair, in order to passively defend different attacks in future. Experiments show that LRAT works better than both IRAT (i.e., global reweighting) and the standard AT (i.e., no reweighting) when trained with an attack and tested on different attacks.

研究动机与目标

• 解决实例重加权对抗训练（IRAT）在测试时面对与训练时不同的攻击时鲁棒性下降的问题。
• 探究为何全局重加权策略（如 GAIRAT）在未见过的攻击下失效，尽管其在训练攻击下提升了鲁棒性。
• 提出一种攻击依赖且局部自适应的新重加权策略，以提升对多样化对抗攻击的泛化能力。
• 证明在训练期间攻击被误设的情况下，对抗样本对内的局部重加权仍能保持模型鲁棒性。

提出的方法

• LRAT 将每个自然输入与其在多种攻击（如 PGD 和 CW）下的对抗样本配对，形成用于重加权的局部组。
• 利用依赖于模型置信度和对抗距离的可学习权重函数，在每对样本内实施基于脆弱性的重加权。
• 通过不为每个实例分配单一全局权重，避免全局重加权，而是专注于每对样本内的相对重要性。
• 通过 [N] 和 [P] 项引入对实例权重的温和下界，防止训练过程中丢弃潜在有用的样本。
• 损失函数结合了自然样本和对抗样本的加权损失，权重由攻击特定的脆弱性评分导出。
• 该框架具有通用性，可与任意攻击类型或脆弱性度量结合使用，支持灵活且鲁棒的防御设计。

实验结果

研究问题

• RQ1 为何实例重加权对抗训练（IRAT）在提升训练攻击下鲁棒性的同时，仍无法泛化到未见过的攻击？
• RQ2 数据实例的脆弱性在不同对抗攻击下是否一致，还是具有攻击依赖性？
• RQ3 与全局重加权策略相比，对抗样本对内的局部重加权是否能提升对未见过攻击的鲁棒性？
• RQ4 维持对实例权重的下界是否有助于防御可能自适应或未知的攻击？

主要发现

• 在 CIFAR-10 上使用 ResNet-18，LRAT 在 PGD 攻击下实现 53.52% 的鲁棒准确率，在 CW 攻击下实现 50.71%，显著优于 GAIRAT 和标准 AT。
• 在 AutoAttack（AA）上，LRAT 的 ([N]+P+C) 变体实现 48.60% 的鲁棒准确率，尽管 AA 未在训练中模拟，仍表现出一致的性能提升。
• 消融实验表明，局部重加权（P+C）优于全局重加权（P 或 C 单独使用），后者在未见过的攻击下性能显著下降。
• 引入对权重的温和下界（通过 [N] 和 [P]）提升了 AutoAttack 下的鲁棒性，表明其在防御自适应或未知攻击中的价值。
• LRAT 降低了在多样化攻击下的模型失效风险，相比全局重加权策略，展现出更均衡且更具泛化能力的防御性能。