[论文解读] Protecting Neural Networks with Hierarchical Random Switching: Towards Better Robustness-Accuracy Trade-off for Stochastic Defenses

Xiao Wang, Siyue Wang+5 more|arXiv (Cornell University)|Aug 20, 2019

Adversarial Robustness in Machine Learning参考文献 15被引用 8

一句话总结

本文提出层级随机切换（HRS），一种新颖的随机防御方法，通过在分层模块中随机切换通道，改善神经网络的鲁棒性-准确率权衡。HRS在抵御白盒和自适应攻击方面，显著优于现有方法，防御效率得分（DES）更高，同时是首个对对抗性重编程有效防御的方法。

ABSTRACT

Despite achieving remarkable success in various domains, recent studies have uncovered the vulnerability of deep neural networks to adversarial perturbations, creating concerns on model generalizability and new threats such as prediction-evasive misclassification or stealthy reprogramming. Among different defense proposals, stochastic network defenses such as random neuron activation pruning or random perturbation to layer inputs are shown to be promising for attack mitigation. However, one critical drawback of current defenses is that the robustness enhancement is at the cost of noticeable performance degradation on legitimate data, e.g., large drop in test accuracy. This paper is motivated by pursuing for a better trade-off between adversarial robustness and test accuracy for stochastic network defenses. We propose Defense Efficiency Score (DES), a comprehensive metric that measures the gain in unsuccessful attack attempts at the cost of drop in test accuracy of any defense. To achieve a better DES, we propose hierarchical random switching (HRS), which protects neural networks through a novel randomization scheme. A HRS-protected model contains several blocks of randomly switching channels to prevent adversaries from exploiting fixed model structures and parameters for their malicious purposes. Extensive experiments show that HRS is superior in defending against state-of-the-art white-box and adaptive adversarial misclassification attacks. We also demonstrate the effectiveness of HRS in defending adversarial reprogramming, which is the first defense against adversarial programs. Moreover, in most settings the average DES of HRS is at least 5X higher than current stochastic network defenses, validating its significantly improved robustness-accuracy trade-off.

研究动机与目标

• 解决随机防御中对抗性鲁棒性与测试准确率之间关键权衡的问题。
• 开发一种防御机制，在保持高测试准确率的同时显著降低对抗性攻击的成功率。
• 提出一种新指标——防御效率得分（DES），用于标准化评估鲁棒性-准确率权衡。
• 实现对自适应和白盒攻击的有效防御，包括对抗性重编程等新型威胁。

提出的方法

• HRS引入分层随机切换模块结构，每个模块包含具有独立权重的并行通道，以及在推理时动态选择激活通道的切换器。
• 每个模块采用去中心化的随机化机制，即每次前向传播仅激活一个通道，防止攻击者利用固定的模型结构。
• 开发了一种新型自底向上的训练算法，具有线性时间复杂度，可高效训练HRS保护的模型。
• 该防御与攻击无关，且与标准神经网络训练流程兼容，仅需单一基础架构。
• HRS被应用于标准对抗性误分类和对抗性重编程任务，证明其广泛适用性。
• 防御效率得分（DES）计算为攻击成功率降低率与测试准确率下降率的比值，支持不同防御方法之间的定量比较。

实验结果

研究问题

• RQ1 如何系统性地测量并改进随机防御中的鲁棒性-准确率权衡？
• RQ2 是否存在一种防御机制，可在有效抵抗强白盒和自适应对抗攻击的同时保持高测试准确率？
• RQ3 与SAP、防御性丢弃和高斯噪声等现有随机防御相比，分层随机切换是否提供更强的鲁棒性？
• RQ4 HRS能否有效防御新兴威胁——对抗性重编程，即模型被隐蔽重编程以错误行为运行？
• RQ5 HRS的鲁棒性是源于梯度混淆，还是对对抗样本的真实抗性？

主要发现

• 在CIFAR-10上，HRS在CW-PGD攻击下平均防御效率得分（DES）达到35.55，优于所有其他防御方法至少3倍。
• 仅导致0.48%的测试准确率下降，HRS在ℓ∞ = 8/255条件下，对PGD和CW-PGD攻击的攻击成功率分别降低了48.9%和45.5%。
• 在使用变换期望（EOT）的自适应攻击下，HRS仍保持有效性，而SAP和丢弃类防御则显著减弱。
• 固定随机性自适应攻击在HRS上的表现劣于标准白盒攻击，证实其去中心化随机化机制可有效抵抗利用。
• 在CIFAR-10上，HRS将对抗性重编程成功率降低至20%以下，而未受保护的模型在重编程后准确率最高可达95.07%。
• 增加通道数或模块数可进一步降低攻击成功率，表明HRS具备可扩展性和可配置性，适用于更强防御。