[论文解读] Mitigating Advanced Adversarial Attacks with More Advanced Gradient Obfuscation Techniques

Han Qiu, Yi Zeng+4 more|arXiv (Cornell University)|May 27, 2020

Adversarial Robustness in Machine Learning参考文献 46被引用 14

一句话总结

本文提出两种先进的预处理函数，通过强制满足四项关键属性，破坏基于梯度的最先进对抗攻击（BPDA 和 EOT）的根本假设，从而使其失效。该方法在面对最强攻击时，即使攻击者耗费数十个 GPU 小时，攻击成功率也低于 7%，且在鲁棒性和准确性方面优于 11 种最先进防御方法。

ABSTRACT

Deep Neural Networks (DNNs) are well-known to be vulnerable to Adversarial Examples (AEs). A large amount of efforts have been spent to launch and heat the arms race between the attackers and defenders. Recently, advanced gradient-based attack techniques were proposed (e.g., BPDA and EOT), which have defeated a considerable number of existing defense methods. Up to today, there are still no satisfactory solutions that can effectively and efficiently defend against those attacks. In this paper, we make a steady step towards mitigating those advanced gradient-based attacks with two major contributions. First, we perform an in-depth analysis about the root causes of those attacks, and propose four properties that can break the fundamental assumptions of those attacks. Second, we identify a set of operations that can meet those properties. By integrating these operations, we design two preprocessing functions that can invalidate these powerful attacks. Extensive evaluations indicate that our solutions can effectively mitigate all existing standard and advanced attack techniques, and beat 11 state-of-the-art defense solutions published in top-tier conferences over the past 2 years. The defender can employ our solutions to constrain the attack success rate below 7% for the strongest attacks even the adversary has spent dozens of GPU hours.

研究动机与目标

• 为解决当前针对 BPDA 和 EOT 等高级基于梯度的对抗攻击的鲁棒防御中存在的重要空白，这些攻击已攻破了大多数现有防御。
• 识别当前基于梯度混淆的防御方法中的根本性弱点，这些弱点导致 BPDA 和 EOT 攻击能够成功。
• 设计满足四项新属性的预处理函数，通过破坏基于梯度攻击的核心假设，使其不可行。
• 在保持高模型准确率的同时，实现对标准攻击和高级对抗攻击的强鲁棒性。

提出的方法

• 作者识别出预处理函数必须满足的四项关键属性，以抵抗 BPDA 和 EOT 攻击：(1) 在输入近似下不可微分，(2) 无法通过输入替换进行近似，(3) 在平均操作下非随机性，(4) 在变换下不可识别。
• 通过整合满足所有四项属性的操作（如不可微分和非随机变换），设计出两种新颖的预处理函数——FD 和 RDG。
• 这些函数在主 DNN 模型之前应用，确保基于梯度的攻击无法通过 BPDA 或 EOT 可靠估计梯度。
• 该设计避免了模型微调或参数修改，以保持模型参数保密性，从而减少攻击面。
• 该方法为基于预处理的防御，与现有模型兼容，可在无需微调的情况下部署。
• 该方法在多个数据集和攻击类型上进行了评估，包括白盒设置下的标准攻击和高级攻击。

实验结果

研究问题

• RQ1 能否通过破坏其核心假设，设计出能够使 BPDA 和 EOT 攻击失效的预处理函数？
• RQ2 预处理函数必须满足哪些特定属性，才能对基于梯度的对抗攻击保持鲁棒性？
• RQ3 为何现有防御方法在 BPDA 和 EOT 攻击下失败？它们共享哪些根本性缺陷？
• RQ4 能否在保持高干净准确率的同时，实现对高级攻击的强鲁棒性？
• RQ5 是否可能设计出一个单一、统一的预处理函数，满足所有四项所提出的属性？

主要发现

• 所提出的 FD+RDG 防御方法即使在攻击者耗费数十个 GPU 小时的情况下，也将攻击成功率降低至 7% 以下，显著优于现有防御方法。
• 在 $l_2$-有界扰动（0.05）下，该方法保持了 58% 的模型准确率，高于所有测试的 11 种 SOTA 防御方法。
• 所有先前的防御方法均未能满足所有四项所提出的属性，这解释了其对 BPDA 和 EOT 攻击的脆弱性。
• FD+RDG 防御方法在综合评估中同时对 BPDA 和 EOT 攻击表现出鲁棒性。
• 该防御方法在与对抗训练结合时依然有效，而先前的方法在该设置下性能会下降。
• 所识别出的四项属性对鲁棒性至关重要，且满足更多属性（尤其是 #2、#3、#4）的防御方法表现出显著更强的抵抗能力。