[论文解读] MultiGuard: Provably Robust Multi-label Classification against Adversarial Examples

Jinyuan Jia, Wenjie Qu+1 more|arXiv (Cornell University)|Oct 3, 2022

Adversarial Robustness in Machine Learning被引用 4

一句话总结

MultiGuard 是首个针对多标签分类的可证明鲁棒防御方法，采用各向同性高斯噪声进行随机平滑。它保证在 $ε$-有界 $l_2$ 对抗扰动下，预测集合中仍包含经认证的真值标签数量，相较于广义多分类可证明防御方法，在 VOC 2007、MS-COCO 和 NUS-WIDE 数据集上实现了更优的鲁棒性。

ABSTRACT

Multi-label classification, which predicts a set of labels for an input, has many applications. However, multiple recent studies showed that multi-label classification is vulnerable to adversarial examples. In particular, an attacker can manipulate the labels predicted by a multi-label classifier for an input via adding carefully crafted, human-imperceptible perturbation to it. Existing provable defenses for multi-class classification achieve sub-optimal provable robustness guarantees when generalized to multi-label classification. In this work, we propose MultiGuard, the first provably robust defense against adversarial examples to multi-label classification. Our MultiGuard leverages randomized smoothing, which is the state-of-the-art technique to build provably robust classifiers. Specifically, given an arbitrary multi-label classifier, our MultiGuard builds a smoothed multi-label classifier via adding random noise to the input. We consider isotropic Gaussian noise in this work. Our major theoretical contribution is that we show a certain number of ground truth labels of an input are provably in the set of labels predicted by our MultiGuard when the $\ell_2$-norm of the adversarial perturbation added to the input is bounded. Moreover, we design an algorithm to compute our provable robustness guarantees. Empirically, we evaluate our MultiGuard on VOC 2007, MS-COCO, and NUS-WIDE benchmark datasets. Our code is available at: \url{https://github.com/quwenjie/MultiGuard}

研究动机与目标

• 为解决多标签分类中缺乏可证明鲁棒防御的问题，该领域仍易受对抗样本影响。
• 将随机平滑方法——在多分类鲁棒性中表现有效——扩展至多标签场景，并为标签集合稳定性提供形式化保证。
• 推导经认证的交集大小 $e$，确保在有界扰动下至少 $e$ 个真值标签可被经认证预测。
• 设计一种高效算法，用于在多标签场景中计算经认证的鲁棒性保证。
• 在标准基准上实证验证 MultiGuard 的鲁棒性及其与超参数的权衡。

提出的方法

• 通过向输入添加各向同性高斯噪声，利用随机平滑构建平滑化的多标签分类器。
• 以标签概率 $p_i$ 为基础进行平滑，即标签 $i$ 出现在基分类器的 top-$k'$ 预测中的概率。
• 将 $p_i$ 值最高的 $k$ 个标签作为最终输出，形成鲁棒的多标签预测。
• 在理论分析中引入多函数版本的 Neyman-Pearson 引理，以处理多标签预测。
• 通过约束优化问题（公式 8）推导经认证的交集大小 $e$，平衡标签概率的上下界。
• 采用基于蒙特卡洛采样的算法，高效估计标签概率并计算鲁棒性保证。

实验结果

研究问题

• RQ1 随机平滑能否扩展至多标签分类，以提供可证明的鲁棒性保证，即每个输入预测多个标签？
• RQ2 在 $l_2$-有界对抗扰动下，经认证保留在预测集合中的真值标签数量的理论上限是什么？
• RQ3 超参数如 $k'$、$k$、$\sigma$、$n$ 和 $\alpha$ 在实际中如何影响经认证交集大小与鲁棒性？
• RQ4 在鲁棒性优化（公式 8）中引入二阶项是否能显著提升经认证性能？
• RQ5 MultiGuard 与现有可证明防御方法相比，在多标签基准上的鲁棒性与准确性表现如何？

主要发现

• 在公式 8 中引入二阶项后，MultiGuard 在 VOC 2007 数据集上实现 31.3% 的经认证 top-$k$ 精度@$R$（$R=0.5$），而未使用二阶项时仅为 23.6%。
• 包含二阶项后，经认证 top-$k$ 召回率@$R$ 从 48.8% 提升至 66.4%，表明其具有显著影响。
• 增大 $k'$ 在无攻击时提升性能，但扩大了攻击者可行扰动空间，从而降低鲁棒性。
• 增大 $k$ 可增强对 $R$ 增大的鲁棒性，但会以无攻击时精度下降为代价。
• 增大 $\sigma$ 可提升鲁棒性，但会降低干净数据集上的性能，体现出鲁棒性与准确性的权衡。
• 增加 $n$ 和 $\alpha$ 可提升经认证交集大小，但当 $n$ 足够大且 $\alpha$ 足够小时，效果趋于饱和。