[论文解读] Logit Pairing Methods Can Fool Gradient-Based Attacks

Marius Mosbach, Maksym Andriushchenko+3 more|arXiv (Cornell University)|Oct 29, 2018

Adversarial Robustness in Machine Learning参考文献 21被引用 46

一句话总结

论文表明，像 CLP 和 LSQ 这样的快速对数回归正则化方法并不提供真正的鲁棒性，而 ALP 提供的鲁棒性有限，并强调在评估中需要彻底的 PGD 参数测试和大量重新启动。

ABSTRACT

Recently, Kannan et al. [2018] proposed several logit regularization methods to improve the adversarial robustness of classifiers. We show that the computationally fast methods they propose - Clean Logit Pairing (CLP) and Logit Squeezing (LSQ) - just make the gradient-based optimization problem of crafting adversarial examples harder without providing actual robustness. We find that Adversarial Logit Pairing (ALP) may indeed provide robustness against adversarial examples, especially when combined with adversarial training, and we examine it in a variety of settings. However, the increase in adversarial accuracy is much smaller than previously claimed. Finally, our results suggest that the evaluation against an iterative PGD attack relies heavily on the parameters used and may result in false conclusions regarding robustness of a model.

研究动机与目标

• 评估对数配对方法（CLP、LSQ、ALP）是否提供超越掩盖梯度行为的真正对抗鲁棒性。
• 在强梯度基攻击下，评估这些方法在 MNIST、CIFAR-10 和 Tiny ImageNet 上的鲁棒性。
• 研究评估实践（PGD 参数网格、重新启动次数）如何影响鲁棒性结论。

提出的方法

• 通过经验比较 CLP、LSQ 和 ALP 对抗具不同迭代次数、步长和重启次数的强白盒 PGD 攻击。
• 在 L_infinity 扰动、较大 epsilon 的情境下，使用 MNIST（LeNet）、CIFAR-10（ResNet20-v2）和 Tiny ImageNet（ResNet50-v2）。
• 对 PGD 参数进行网格搜索并进行大量随机重启以揭示攻击成功率。
• 与对抗训练和 SPSA 攻击进行对比，以衡量真实鲁棒性。
• 可视化输入空间的损失表面，以说明梯度混淆效应。

实验结果

研究问题

• RQ1 CLP 和 LSQ 提供的是实际鲁棒性吗，还是仅仅阻碍基于梯度的攻击？
• RQ2 ALP 是否在对抗训练之外提供真正的鲁棒性，且增益有多显著？
• RQ3 对 PGD 参数选择和重启次数的鲁棒性评估在不同数据集上有多敏感？

主要发现

• CLP 和 LSQ 扭曲输入空间的损失表面，使基于梯度的攻击更难，但并未提供真实鲁棒性（通过损失表面分析的证据）。
• MNIST：LSQ 对抗鲁棒性从 70.6%（单次重启）降至 5.0%，原因是更大的 PGD 步长、迭代和重启；在更强的 PGD 设置下，CLP 从 62.4% 降至 4.1%。
• CIFAR-10：CLP/LSQ 在 PGD 下鲁棒性降至接近 0%，某些设置下 LSQ 的对抗准确率为 1.7%；ALP 显示出一些鲁棒性，在最强 PGD 下比纯对抗训练高出约 3.4%，但并不显著。
• Tiny ImageNet：ALP 可显著降低对抗准确率（例如在某些配置中从 31.8% 降至 3.6%），但微调和定向攻击带来有限增益；总体而言，ALP 未达到最先进的鲁棒性。
• 研究强调，使用默认设置的 PGD 评估不可靠；必须进行穷尽的 PGD 参数网格搜索和大量重启，才能得出有效结论。