[论文解读] PatchCleanser: Certifiably Robust Defense against Adversarial Patches for Any Image Classifier

Chong Xiang, Saeed Mahloujifar+1 more|arXiv (Cornell University)|Aug 20, 2021

Adversarial Robustness in Machine Learning参考文献 62被引用 19

一句话总结

PatchCleanser 是一种针对对抗性贴图攻击的可认证鲁棒防御方法，采用两轮像素掩码技术，在不拒绝预测的情况下中和对抗性贴图。它在 ImageNet 上实现了最先进性能——83.9% 的 top-1 清洁准确率和 62.1% 的 top-1 可认证鲁棒准确率，同时与任何图像分类器兼容，包括感受野较大的模型。

ABSTRACT

The adversarial patch attack against image classification models aims to inject adversarially crafted pixels within a restricted image region (i.e., a patch) for inducing model misclassification. This attack can be realized in the physical world by printing and attaching the patch to the victim object; thus, it imposes a real-world threat to computer vision systems. To counter this threat, we design PatchCleanser as a certifiably robust defense against adversarial patches. In PatchCleanser, we perform two rounds of pixel masking on the input image to neutralize the effect of the adversarial patch. This image-space operation makes PatchCleanser compatible with any state-of-the-art image classifier for achieving high accuracy. Furthermore, we can prove that PatchCleanser will always predict the correct class labels on certain images against any adaptive white-box attacker within our threat model, achieving certified robustness. We extensively evaluate PatchCleanser on the ImageNet, ImageNette, CIFAR-10, CIFAR-100, SVHN, and Flowers-102 datasets and demonstrate that our defense achieves similar clean accuracy as state-of-the-art classification models and also significantly improves certified robustness from prior works. Remarkably, PatchCleanser achieves 83.9% top-1 clean accuracy and 62.1% top-1 certified robust accuracy against a 2%-pixel square patch anywhere on the image for the 1000-class ImageNet dataset.

研究动机与目标

• 解决缺乏与高精度、最先进图像分类器兼容的可认证鲁棒防御的问题。
• 克服先前防御方法依赖小感受野的局限性，这些局限性限制了干净准确率。
• 在不依赖模型特定架构假设的情况下，维持强鲁棒性保证。
• 提供一种从不拒绝预测的防御机制，确保在安全关键应用中的功能连续性。
• 在物理世界贴图攻击威胁模型下，实现对自适应白盒攻击者的高可认证鲁棒性。

提出的方法

• PatchCleanser 通过在所有可能的图像位置放置掩码，执行第一轮掩码操作，生成掩码输入。
• 它评估分类器在每张掩码图像上的预测结果，并识别所有单掩码预测中的多数预测结果。
• 对于与多数结果不一致的预测（即分歧者），它使用额外掩码执行第二轮掩码操作，生成双掩码输入。
• 如果所有双掩码预测结果均与某个单掩码分歧者一致，则该标签被输出为最终预测结果。
• 该防御机制确保：若存在良性预测（即掩码覆盖了贴图），则该预测将被恢复并正确预测。
• 双重掩码过程可在无需模型微调或架构约束的情况下实现鲁棒性认证。

实验结果

研究问题

• RQ1 能否设计一种无需对基础分类器进行架构修改的对抗性贴图可认证鲁棒防御？
• RQ2 此类防御是否能在保持强可认证鲁棒性的同时实现高干净准确率？
• RQ3 是否可能在可认证鲁棒防御中避免预测拒绝，从而确保现实世界系统中的持续运行？
• RQ4 当贴图位置未知且攻击者具备自适应能力时，如何可靠地中和对抗性贴图？
• RQ5 在攻击者知晓防御机制的白盒威胁模型下，防御是否仍能维持鲁棒性保证？

主要发现

• PatchCleanser 在 ImageNet 上实现了 83.9% 的 top-1 清洁准确率，与最先进未受攻击模型持平。
• 它在图像任意位置放置 2% 像素大小的方形贴图时，实现了 62.1% 的 top-1 可认证鲁棒准确率。
• 该防御是首个在无需架构约束的情况下同时实现高清洁准确率和高可认证鲁棒准确率的方案。
• PatchCleanser 超越了先前依赖小感受野的可认证鲁棒防御方法，后者在 ImageNet 上的准确率被限制在约 55%。
• 该方法实现了无拒绝的鲁棒预测，适用于对预测连续性要求极高的自主系统。
• 双重掩码机制即使在对抗性贴图被自适应且有知识地放置时，也能成功恢复正确预测。