[论文解读] Rob-GAN: Generator, Discriminator, and Adversarial Attacker

Xuanqing Liu, Cho‐Jui Hsieh|arXiv (Cornell University)|Jul 27, 2018

Adversarial Robustness in Machine Learning被引用 8

一句话总结

Rob-GAN 提出了一种三玩家生成对抗框架，通过联合优化生成器、判别器和对抗攻击者，以提升 GAN 训练的收敛性与分类器的鲁棒性。通过将对抗攻击整合到 GAN 训练中，并利用 GAN 生成的数据进行对抗训练，Rob-GAN 实现了更快的收敛速度、更高质量的图像生成效果，在强 $\infty$-norm $\ell_{\infty}$ PGD 攻击下，ResNet18 的准确率达到 36.4%，超越了当前最先进防御方法。

ABSTRACT

We study two important concepts in adversarial deep learning---adversarial training and generative adversarial network (GAN). Adversarial training is the technique used to improve the robustness of discriminator by combining adversarial attacker and discriminator in the training phase. GAN is commonly used for image generation by jointly optimizing discriminator and generator. We show these two concepts are indeed closely related and can be used to strengthen each other---adding a generator to the adversarial training procedure can improve the robustness of discriminators, and adding an adversarial attack to GAN training can improve the convergence speed and lead to better generators. Combining these two insights, we develop a framework called Rob-GAN to jointly optimize generator and discriminator in the presence of adversarial attacks---the generator generates fake images to fool discriminator; the adversarial attacker perturbs real images to fool the discriminator, and the discriminator wants to minimize loss under fake and adversarial images. Through this end-to-end training procedure, we are able to simultaneously improve the convergence speed of GAN training, the quality of synthetic images, and the robustness of discriminator under strong adversarial attacks. Experimental results demonstrate that the obtained classifier is more robust than the state-of-the-art adversarial training approach, and the generator outperforms SN-GAN on ImageNet-143.

研究动机与目标

• 通过将对抗攻击整合到判别器的训练目标中，解决标准 GAN 训练收敛慢和不稳定的难题。
• 通过利用 GAN 生成器的数据增强技术，提升对抗训练分类器的泛化能力和鲁棒性。
• 通过共享的端到端框架，将对抗训练与 GAN 训练统一为相互促进的过程。
• 为条件 GAN 提出一种新型训练损失，以缓解模式崩溃并提升样本质量。
• 通过实证验证，结合 GAN 与对抗训练可同时提升生成器质量与判别器鲁棒性。

提出的方法

• 提出一种三玩家极小化-极大化博弈，其中生成器生成假图像，判别器对真实图像、假图像和对抗图像进行分类，对抗攻击者生成扰动的真实图像以欺骗判别器。
• 采用端到端的训练流程，交替更新生成器、判别器和对抗攻击者，判别器在真实样本、假样本和对抗样本上进行训练。
• 通过将分类损失拆分为真实图像和假图像的独立项，重新表述 AC-GAN 损失，从而减少模式崩溃并提升训练稳定性。
• 在判别器训练过程中使用 $\infty$-norm 有界对抗攻击（如 PGD），以增强对扰动的鲁棒性。
• 将 GAN 生成的样本用作对抗训练中的数据增强，提升分类器在未见数据上的泛化能力。
• 采用共享训练流程，判别器在自然图像、对抗图像和生成图像的组合上进行训练，实现所有组件的联合优化。

实验结果

研究问题

• RQ1 将生成器整合到对抗训练中，是否能将判别器的鲁棒性提升至超过标准对抗训练的水平？
• RQ2 在 GAN 训练中引入对抗攻击者，是否能加速收敛并提升生成图像的质量？
• RQ3 所提出的损失形式化对条件 GAN 中模式崩溃和样本多样性有何影响？
• RQ4 与孤立训练 GAN 或对抗训练相比，生成器、判别器和攻击者的联合训练在泛化能力和鲁棒性方面提升程度如何？
• RQ5 在对抗训练中使用 GAN 生成的数据作为增强手段，是否能在强攻击下带来可测量的分类器准确率提升？

主要发现

• Rob-GAN 在 $\infty$-norm $\ell_{\infty}$ PGD 攻击下显著提升了判别器的鲁棒性，在 CIFAR10 上 ResNet18 的准确率达到 36.4%，优于最先进对抗训练方法 [23] 的 29.6%。
• 当将对抗攻击整合到训练循环中时，Rob-GAN 使 GAN 训练的收敛速度提升了 3–7 倍。
• 在 143 类 ImageNet 子集上，Rob-GAN 在 $\delta_{\text{max}} = 0.01$ 的 $\infty$-norm $\ell_{\infty}$ PGD 攻击下达到 32.4% 的准确率，优于基线对抗训练方法。
• 新损失形式显著减少了模式崩溃，生成的样本比 AC-GAN 更清晰、更具多样性，定性对比结果已验证此结论。
• Rob-GAN 在 64px 和 128px ImageNet 子集上的 Inception Score 均优于 SN-GAN，且在仅 25–50 个周期内即达到更优性能。
• 将对抗攻击整合到 GAN 训练中可实现更快收敛和更高质量的生成器，当同时应用新损失和对抗训练时，性能达到最佳。