[论文解读] Regional Homogeneity: Towards Learning Transferable Universal Adversarial Perturbations Against Defenses

Yingwei Li, Song Bai+4 more|arXiv (Cornell University)|Apr 1, 2019

Adversarial Robustness in Machine Learning参考文献 85被引用 19

一句话总结

本文提出区域同质扰动（RHP），一种新颖的方法，通过利用对抗扰动中的区域同质性，生成可迁移的通用对抗攻击，以针对防御模型。通过使用一种轻量级梯度转换模块来诱导欠拟合，RHP 在无需显式通用损失的情况下生成通用扰动，在 9 种防御模型上实现了平均 14.0% 的准确率下降，相较于最先进方法最高提升 19.2%。

ABSTRACT

This paper focuses on learning transferable adversarial examples specifically against defense models (models to defense adversarial attacks). In particular, we show that a simple universal perturbation can fool a series of state-of-the-art defenses. Adversarial examples generated by existing attacks are generally hard to transfer to defense models. We observe the property of regional homogeneity in adversarial perturbations and suggest that the defenses are less robust to regionally homogeneous perturbations. Therefore, we propose an effective transforming paradigm and a customized gradient transformer module to transform existing perturbations into regionally homogeneous ones. Without explicitly forcing the perturbations to be universal, we observe that a well-trained gradient transformer module tends to output input-independent gradients (hence universal) benefiting from the under-fitting phenomenon. Thorough experiments demonstrate that our work significantly outperforms the prior art attacking algorithms (either image-dependent or universal ones) by an average improvement of 14.0% when attacking 9 defenses in the transfer-based attack setting. In addition to the cross-model transferability, we also verify that regionally homogeneous perturbations can well transfer across different vision tasks (attacking with the semantic segmentation task and testing on the object detection task). The code is available here: https://github.com/LiYingwei/Regional-Homogeneity.

研究动机与目标

• 为解决针对最先进防御模型生成可迁移对抗样本的挑战。
• 探究现有通用攻击在防御模型上失效的原因，并识别对抗扰动中的结构性差异。
• 开发一种通过梯度转换模块的欠拟合机制自然生成通用扰动的方法。
• 验证所提出扰动在跨模型和跨任务上的迁移能力。
• 证明区域同质扰动相较于标准噪声型或图像依赖型扰动，在防御模型上更具有效性。

提出的方法

• 提出一种转换范式，利用梯度转换模块将标准对抗扰动转化为区域同质扰动。
• 设计一个轻量级梯度转换模块，包含 12 + 2K 个可学习参数，采用 3×3 卷积层和 K 个区域划分。
• 训练梯度转换模块以诱导欠拟合（高偏差、低方差），从而产生与输入无关的梯度，实现通用扰动。
• 使用区域分割函数（垂直、水平、网格、斜线）定义扰动空间中的局部相关结构。
• 应用训练好的转换模块生成通用对抗样本，无需显式强制实现通用性。
• 评估在不同模型和任务间的迁移能力，包括从分割到检测的跨任务攻击。

实验结果

研究问题

• RQ1 为何标准通用对抗扰动在防御模型上难以有效迁移？
• RQ2 能否利用对抗扰动中的区域同质性来提升对防御模型的迁移能力？
• RQ3 通过欠拟合训练的梯度转换模块是否能自然地生成通用对抗扰动？
• RQ4 区域同质扰动是否能在不同视觉任务之间实现迁移，例如从分割任务到检测任务？
• RQ5 所提方法在受防御模型上的定量性能与现有通用及图像依赖型攻击方法相比如何？

主要发现

• 在基于迁移的设置下，RHP 攻击 9 种防御模型时，相较于先前方法平均提升 14.0% 的攻击成功率。
• RHP 在 top-1 错误率提升方面优于最先进通用攻击方法 UAP（提升 19.2%）和 GAP（提升 15.6%）。
• RHP 同样优于图像依赖型攻击：分别优于 FGSM（12.9%）、MIM（12.6%）和 DIM（9.58%）。
• RHP 展现出强大的跨任务迁移能力，在攻击分割模型时，使 Faster R-CNN 的 mAP 从 69.2 降低至 31.6。
• 不同区域分割函数（如网格、斜线等）在迁移能力上表现相近，定性证据表明其针对不同的低级视觉模式。
• 梯度转换模块通过欠拟合机制偶然实现通用行为，无需显式通用损失或优化。