[论文解读] Reverse Engineering of Imperceptible Adversarial Image Perturbations

Yifan Gong, Yuguang Yao+5 more|arXiv (Cornell University)|Mar 26, 2022

Adversarial Robustness in Machine Learning被引用 8

一句话总结

本文提出了一种新型框架——欺骗逆向工程（RED），通过结合类别判别去噪与空间数据增强，从对抗性图像中恢复不可察觉的对抗扰动。所提出的CDD-RED方法在多种评估指标和攻击类型（包括FGSM、PGD、CW、AutoAttack及自适应攻击）下显著优于基线去噪方法，展现出强大的泛化能力与鲁棒性，适用于扰动恢复任务。

ABSTRACT

It has been well recognized that neural network based image classifiers are easily fooled by images with tiny perturbations crafted by an adversary. There has been a vast volume of research to generate and defend such adversarial attacks. However, the following problem is left unexplored: How to reverse-engineer adversarial perturbations from an adversarial image? This leads to a new adversarial learning paradigm--Reverse Engineering of Deceptions (RED). If successful, RED allows us to estimate adversarial perturbations and recover the original images. However, carefully crafted, tiny adversarial perturbations are difficult to recover by optimizing a unilateral RED objective. For example, the pure image denoising method may overfit to minimizing the reconstruction error but hardly preserve the classification properties of the true adversarial perturbations. To tackle this challenge, we formalize the RED problem and identify a set of principles crucial to the RED approach design. Particularly, we find that prediction alignment and proper data augmentation (in terms of spatial transformations) are two criteria to achieve a generalizable RED approach. By integrating these RED principles with image denoising, we propose a new Class-Discriminative Denoising based RED framework, termed CDD-RED. Extensive experiments demonstrate the effectiveness of CDD-RED under different evaluation metrics (ranging from the pixel-level, prediction-level to the attribution-level alignment) and a variety of attack generation methods (e.g., FGSM, PGD, CW, AutoAttack, and adaptive attacks).

研究动机与目标

• 形式化对抗性欺骗的逆向工程（RED）问题，旨在从对抗性图像中估计对抗扰动。
• 识别关键设计原则，尤其是类别判别能力与空间数据增强，以实现可泛化的RED性能。
• 构建一个全面的评估流水线，从像素级、预测级和显著性区域三个层次衡量RED性能。
• 设计一种基于去噪器的RED框架，使其在未见攻击类型上具备泛化能力，并保持高保真度的扰动恢复。

提出的方法

• 将RED问题形式化为一个逆向学习任务，旨在从给定的对抗性图像中估计对抗扰动。
• 在去噪网络中引入类别判别损失，以在扰动恢复过程中保留与分类相关的关键特征。
• 在训练过程中应用空间数据增强（如旋转、翻转）以提升RED模型的鲁棒性与泛化能力。
• 设计CDD-RED框架，联合优化图像重建与原始分类器的预测对齐。
• 使用预训练分类器（如VGG19）引导RED过程，确保恢复的扰动保持对抗性特性。
• 采用多层级评估指标衡量RED性能：像素级重建误差、预测级对齐度（PA），以及显著性区域恢复程度。

实验结果

研究问题

• RQ1 能否通过基于去噪的方法，有效从对抗性图像中逆向工程出对抗扰动？
• RQ2 哪些设计原则（如类别判别能力与数据增强）对实现可泛化的RED性能至关重要？
• RQ3 所提出的CDD-RED方法在未见攻击类型（如AutoAttack与自适应攻击）上的泛化能力如何？
• RQ4 RED在多大程度上能够恢复真实的对抗显著性区域，并保持原始模型的预测行为？
• RQ5 RED是否可用于通过学习的logit空间相关性，推断不同对抗攻击类型之间的关系？

主要发现

• 与去噪基线（DS）相比，CDD-RED在Feature Attack上实现了36.51%更高的预测对齐度（PA），在Adaptive Attack上实现了27.64%更高的PA。
• 该方法在AutoAttack上仍保持强劲性能，而AutoAttack相比标准攻击更具鲁棒性，表明其对复杂、未见攻击类型的泛化能力。
• 在所有评估的攻击方法中，CDD-RED在像素级重建与预测级对齐方面均优于标准去噪（DO）与结合空间增强的去噪（DS）。
• CDD-RED估计结果的logit相关性矩阵与真实值高度吻合，表明其准确恢复了对抗行为及攻击类型之间的关系。
• CDD-RED实现了可迁移的攻击能力，因为RED生成的扰动可作为有效的迁移攻击使用，证明其语义保真度较高。
• 该框架在自适应攻击场景下也表现出良好泛化能力，即使攻击者已知晓RED模型，仍能保持鲁棒性，展现出在最坏情况下的抗性。