[论文解读] On the Limitations of Denoising Strategies as Adversarial Defenses

Zhong-Han Niu, Zhaoxi Chen+4 more|arXiv (Cornell University)|Dec 17, 2020

Adversarial Robustness in Machine Learning参考文献 36被引用 10

一句话总结

本文通过在强假设的完整扰动访问条件下，直接在对抗噪声上评估，研究了基于去噪的防御在对抗鲁棒性方面的局限性。提出了一种在特征空间中跨频带的自适应压缩策略，展示了优越的鲁棒性——在强PGD攻击下实现了65.7%的鲁棒准确率，优于现有去噪方法。

ABSTRACT

As adversarial attacks against machine learning models have raised increasing concerns, many denoising-based defense approaches have been proposed. In this paper, we summarize and analyze the defense strategies in the form of symmetric transformation via data denoising and reconstruction (denoted as $F+$ inverse $F$, $F-IF$ Framework). In particular, we categorize these denoising strategies from three aspects (i.e. denoising in the spatial domain, frequency domain, and latent space, respectively). Typically, defense is performed on the entire adversarial example, both image and perturbation are modified, making it difficult to tell how it defends against the perturbations. To evaluate the robustness of these denoising strategies intuitively, we directly apply them to defend against adversarial noise itself (assuming we have obtained all of it), which saving us from sacrificing benign accuracy. Surprisingly, our experimental results show that even if most of the perturbations in each dimension is eliminated, it is still difficult to obtain satisfactory robustness. Based on the above findings and analyses, we propose the adaptive compression strategy for different frequency bands in the feature domain to improve the robustness. Our experiment results show that the adaptive compression strategies enable the model to better suppress adversarial perturbations, and improve robustness compared with existing denoising strategies.

研究动机与目标

• 通过直接将去噪防御策略应用于对抗噪声，绕过良性准确率的权衡，评估其鲁棒性。
• 基于F-IF框架，在空间域、频域和潜在表示域中对现有去噪防御进行分类。
• 识别当前去噪策略在有效去除噪声的同时，仍无法有效抑制对抗扰动的根本局限性。
• 提出一种针对特征域中不同频带量身定制的新型自适应压缩策略，以增强防御鲁棒性。
• 开发一种轻量级、与模型无关的防御机制，通过极少的训练数据提升鲁棒性。

提出的方法

• 作者采用F-IF框架（通过对称变换实现去噪与重建）统一分析并研究现有去噪防御方法。
• 通过直接将防御策略应用于完整的对抗扰动η来评估其性能，假设可同时访问干净图像和对抗样本。
• 提出一种自适应压缩策略，对特征空间中的高频（HH、HL、LH）和低频（LL）带应用不同的压缩级别。
• 基于该策略构建了自适应压缩与重建模型（ACM），可依据频率特性选择性地抑制对抗成分。
• 该方法仅需数百张良性图像进行训练，因此高效且与底层分类器或攻击类型无关。
• 在强白盒攻击（如100次迭代的PGD）和具有完整模型访问权限的自适应攻击场景下评估鲁棒性。

实验结果

研究问题

• RQ1 当去噪防御策略直接应用于对抗噪声且独立于良性准确率时，其有效性如何？

主要发现

• 即使所有对抗噪声均可直接访问并完全去噪，现有去噪策略在强PGD攻击下仍无法实现高鲁棒性，鲁棒准确率降至0%。
• 自适应压缩策略在ε=8的PGD攻击下实现了65.7%的鲁棒准确率，显著优于现有去噪方法。
• 消融实验表明，仅在部分频带进行防御会导致性能下降，若不对高频带实施防御，性能最高可下降23.5%。
• 同时在所有频带（LL、HH、HL、LH）上实施防御可获得最佳性能，证实了多频带自适应压缩的必要性。
• 所提出的ACM模型在远少于训练数据（仅数百张图像）的情况下实现了更高的鲁棒性，相比对抗训练（需数千张图像），且与模型和攻击类型无关。
• 在具有完整模型访问权限的自适应攻击下，ACM模型的攻击成功率仅为3.3%（对抗训练为3%），表现出极强的鲁棒性。