[论文解读] POPQORN: Quantifying Robustness of Recurrent Neural Networks

Ching-Yun Ko, Zhaoyang Lyu+4 more|arXiv (Cornell University)|May 17, 2019

Adversarial Robustness in Machine Learning被引用 42

一句话总结

POPQORN 提供一个通用框架，通过在对抗扰动下将线性界从输出传播回输入，来量化 RNN 的鲁棒性保证（普通 RNN、LSTM、GRU）。

ABSTRACT

The vulnerability to adversarial attacks has been a critical issue for deep neural networks. Addressing this issue requires a reliable way to evaluate the robustness of a network. Recently, several methods have been developed to compute $ extit{robustness quantification}$ for neural networks, namely, certified lower bounds of the minimum adversarial perturbation. Such methods, however, were devised for feed-forward networks, e.g. multi-layer perceptron or convolutional networks. It remains an open problem to quantify robustness for recurrent networks, especially LSTM and GRU. For such networks, there exist additional challenges in computing the robustness quantification, such as handling the inputs at multiple steps and the interaction between gates and states. In this work, we propose $ extit{POPQORN}$ ($ extbf{P}$ropagated-$ extbf{o}$ut$ extbf{p}$ut $ extbf{Q}$uantified R$ extbf{o}$bustness for $ extbf{RN}$Ns), a general algorithm to quantify robustness of RNNs, including vanilla RNNs, LSTMs, and GRUs. We demonstrate its effectiveness on different network architectures and show that the robustness quantification on individual steps can lead to new insights.

研究动机与目标

• 激励对 RNN 分类器在对抗扰动下进行鲁棒性评估。
• 把基于验证的鲁棒性量化从前馈网络扩展到循环结构。
• 开发一个通用、可迁移的界限框架，支持 vanilla RNN、LSTM 和 GRU。
• 提供闭式界限和实用算法，以在 l_p 扰动下计算鲁棒性保证。

提出的方法

• 使用逐层界限将非线性激活函数界定为线性函数，并从输出向输入反向传播界限。
• 通过对 LSTMs 的门中的叉项用平面界定来处理跨非线性。
• 推导 vanilla RNN、LSTM、GRU 的显式上界和下界公式（附录中的 Theorems A.2、A.3–A.7）。
• 通过对界表达式进行最大化/最小化并应用 Hölder 不等式来计算全局鲁棒性界。
• 提出基于二分搜索的程序，以找到能够产生鲁棒性保证的最大扰动半径 epsilon。
• 提供一个对比分析框架，与先前的鲁棒性量化方法（认证界限和 CLEVER-RNN）进行比较。

实验结果

研究问题

• RQ1 在范数有界的对抗扰动下，如何计算 RNN 的鲁棒性界？
• RQ2 一个统一框架是否能为 vanilla RNN、LSTM 和 GRU 提供有保证的下界/上界，包括跨非线性？
• RQ3 在逐步对单个时间步评估边界时，鲁棒性洞见如何显现？
• RQ4 扰动半径与对序列输入的认证鲁棒性保证之间的关系是什么？

主要发现

• POPQORN 在 epsilon 有界输入扰动下为 RNN 输出提供明确的线性上界和下界。
• 该框架在有保证前提下包含 vanilla RNN、LSTM 和 GRU，并处理门中的跨非线性。
• 对激活的界线与对 LSTMs 中跨项的界平面能够实现从输出到输入的界限递归传播。
• 可为每个输出维度 j 计算全局界 gamma^L_j 和 gamma^U_j，从而实现鲁棒性认证。
• 提出一种二分搜索过程，用于计算保持分类鲁棒性的最大 epsilon（无目标或有目标）。