[论文解读] Practical Evaluation of Adversarial Robustness via Adaptive Auto Attack

Liu Ye, Yaya Cheng+4 more|arXiv (Cornell University)|Mar 10, 2022

Adversarial Robustness in Machine Learning被引用 5

一句话总结

本文提出自适应自动攻击（A3），一种无需参数、高效且可靠的防御模型对抗鲁棒性评估方法。通过采用自适应方向初始化以加速收敛，并利用在线统计的丢弃策略优先处理较易攻击的样本，A3在显著降低鲁棒准确率的同时，实现比先前方法快10倍的速度，且在CVPR 2021年白盒攻击竞赛中（共1,681支队伍参赛）夺得第一名。

ABSTRACT

Defense models against adversarial attacks have grown significantly, but the lack of practical evaluation methods has hindered progress. Evaluation can be defined as looking for defense models' lower bound of robustness given a budget number of iterations and a test dataset. A practical evaluation method should be convenient (i.e., parameter-free), efficient (i.e., fewer iterations) and reliable (i.e., approaching the lower bound of robustness). Towards this target, we propose a parameter-free Adaptive Auto Attack (A$^3$) evaluation method which addresses the efficiency and reliability in a test-time-training fashion. Specifically, by observing that adversarial examples to a specific defense model follow some regularities in their starting points, we design an Adaptive Direction Initialization strategy to speed up the evaluation. Furthermore, to approach the lower bound of robustness under the budget number of iterations, we propose an online statistics-based discarding strategy that automatically identifies and abandons hard-to-attack images. Extensive experiments demonstrate the effectiveness of our A$^3$. Particularly, we apply A$^3$ to nearly 50 widely-used defense models. By consuming much fewer iterations than existing methods, i.e., $1/10$ on average (10$ imes$ speed up), we achieve lower robust accuracy in all cases. Notably, we won $ extbf{first place}$ out of 1681 teams in CVPR 2021 White-box Adversarial Attacks on Defense Models competitions with this method. Code is available at: $\href{https://github.com/liuye6666/adaptive_auto_attack}{https://github.com/liuye6666/adaptive\_auto\_attack}$

研究动机与目标

• 为防御模型对抗鲁棒性的评估方法缺乏实用性、高效性和可靠性的问题提供解决方案。
• 识别现有随机采样策略在攻击初始化阶段（尤其是输出空间）的局限性。
• 通过减少迭代次数而不牺牲鲁棒性下界估计的准确性，提升评估效率。
• 通过在过程中早期动态丢弃难以攻击的图像，提升评估的可靠性。
• 为在现实攻击预算下比较防御模型提供实用的基准工具。

提出的方法

• 提出自适应方向初始化（ADI），通过观察对抗样本在输出空间中的方向偏差，生成优于随机采样的初始点。
• 使用观察器记录首次重启时的模型特定方向模式，以指导后续初始化。
• 引入基于在线统计的丢弃策略（OSD），根据损失趋势识别并提前放弃难以攻击的图像。
• 将剩余迭代次数均匀分配给较易攻击的图像，以在预算约束下最大化成功攻击数量。
• 将ADI与OSD整合为统一框架A3，实现无需超参数的测试时训练。
• 在A3框架内使用PGD和I-FGSM等迭代攻击方法，通过自适应初始化与动态资源分配提升性能。

Figure 1 : Quantitative statistical results of the diversified direction $\boldsymbol{w}_{\boldsymbol{d}}$ of adversarial examples on 11 models. The diversified direction $\boldsymbol{w}_{\boldsymbol{d}}$ for all models disobey uniform distribution.

实验结果

研究问题

• RQ1 针对特定防御模型，对抗样本的起始方向是否在输出空间中表现出规律性？
• RQ2 能否利用输出空间中的模型特定方向偏差来提升攻击初始化效率？
• RQ3 对所有图像平均分配迭代次数的朴素策略是否在鲁棒性评估中存在优化空间？
• RQ4 能否利用在线损失统计识别并提前丢弃难以攻击的图像，以提升评估效率与可靠性？
• RQ5 无超参数的自适应评估方法是否能在速度与鲁棒性下界估计方面全面超越现有基线方法？

主要发现

• A3在平均情况下实现10倍加速，仅需先前方法1/10的迭代次数，且在所有评估场景中均达到更低的鲁棒准确率。
• 在CVPR 2021年白盒防御模型对抗攻击竞赛中，A3以最终得分51.10%在1,681支队伍中排名第一。
• ADI组件相比随机初始化将鲁棒准确率降低最多0.28%，证明其在提升攻击质量方面的有效性。
• OSD策略在Feature Scatter防御上使鲁棒准确率降低最多18.30%，显示出显著的可靠性提升。
• 平均而言，A3相比基线方法将鲁棒性评估的可靠性提升，使鲁棒准确率降低0.18–0.28%。
• 在CIFAR-10和ImageNet数据集上，A3在49种广泛使用的防御模型上持续优于所有基线方法。

Figure 2 : Quantitative statistical results of loss percentile of easy-to-attack images. As the number of iterations increases, the loss percentile of easy-to-attack images continually decrease.