[论文解读] ScaleCert: Scalable Certified Defense against Adversarial Patches with Sparse Superficial Layers

Husheng Han, Kaidi Xu+7 more|arXiv (Cornell University)|Oct 27, 2021

Adversarial Robustness in Machine Learning参考文献 32被引用 13

一句话总结

ScaleCert 通过利用稀疏表层（基于 SIN 的剪枝）来减少对抗性区域搜索开销并过滤预测噪声，提出了一种在高分辨率图像中可扩展的对抗性补丁认证防御方法。其在 ImageNet 上实现了 60.4% 的认证准确率，显著优于先前最先进方法的 36.3%。

ABSTRACT

Adversarial patch attacks that craft the pixels in a confined region of the input images show their powerful attack effectiveness in physical environments even with noises or deformations. Existing certified defenses towards adversarial patch attacks work well on small images like MNIST and CIFAR-10 datasets, but achieve very poor certified accuracy on higher-resolution images like ImageNet. It is urgent to design both robust and effective defenses against such a practical and harmful attack in industry-level larger images. In this work, we propose the certified defense methodology that achieves high provable robustness for high-resolution images and largely improves the practicality for real adoption of the certified defense. The basic insight of our work is that the adversarial patch intends to leverage localized superficial important neurons (SIN) to manipulate the prediction results. Hence, we leverage the SIN-based DNN compression techniques to significantly improve the certified accuracy, by reducing the adversarial region searching overhead and filtering the prediction noises. Our experimental results show that the certified accuracy is increased from 36.3% (the state-of-the-art certified detection) to 60.4% on the ImageNet dataset, largely pushing the certified defenses for practical use.

研究动机与目标

• 解决在 ImageNet 等高分辨率数据集上现有方法认证准确率低的认证防御关键空白。
• 开发一种实用且可扩展的认证防御方法，同时保持高鲁棒性和推理效率，适用于实际部署。
• 利用对抗性补丁利用局部表层重要神经元（SINs）来操纵预测的洞察。
• 通过基于 SIN 的剪枝最小化候选对抗性区域搜索，从而减少认证防御中的计算开销。
• 通过结构化神经网络稀疏性，在保持自然准确率的同时实现高认证准确率。

提出的方法

• 使用激活统计和 top-k 选择（胜率 k）在浅层中识别局部表层重要神经元（SINs）。
• 应用基于 SIN 的剪枝以稀疏化激活图，减少噪声并过滤对抗性区域检测中的无关特征。
• 使用带有重叠阈值 τ 的滑动遮挡窗口机制，合并候选窗口并减少搜索空间。
• 基于 SIN 掩码应用结构化消融策略，在推理过程中检测并遮挡对抗性补丁。
• 将防御集成到基于随机平滑原理的认证鲁棒性框架中，提供可证明的保证。
• 优化超参数（k, τ, l）以在认证准确率、干净准确率和推理延迟之间取得平衡。

实验结果

研究问题

• RQ1 基于 SIN 的稀疏性是否能减少对抗性区域的搜索空间，并提升高分辨率图像上的认证准确率？
• RQ2 在 SIN 掩码中胜率（k）的选择如何影响认证准确率与模型效率之间的权衡？
• RQ3 合并遮挡窗口的最优重叠比例如何，才能在不牺牲检测准确率的前提下最小化延迟？
• RQ4 与先前的认证防御相比，该方法是否能同时实现高认证准确率和低计算开销？
• RQ5 在真实场景中，ScaleCert 能在多大程度上从对抗性补丁攻击中恢复真实标签？

主要发现

• 对于 1% 像素的对抗性补丁，ScaleCert 在 ImageNet 上实现了 60.4% 的认证准确率，显著优于先前最先进方法的 36.3%。
• 在 2% 补丁下，当重叠比阈值 τ = 0.3 时，ScaleCert 仍保持 56.6% 的认证准确率，实现了效率与鲁棒性的良好平衡。
• 与 MRD 相比，该方法实现了超过 100 倍的加速，且延迟与 PG-Mask-DS 相当，展现出强大的计算效率。
• 实证恢复结果显示，在补丁遮挡后，10,000 张 ImageNet 图像的分类准确率从 14.0% 恢复至 85.8%，证实了有效的标签恢复能力。
• 在最优超参数设置下，干净准确率保持在 62.5%，表明对干净输入的性能下降极小。
• 当 k = 10% 时剪枝可保持 73.6% 的原始模型准确率，并实现最高的认证准确率，表明在稀疏性与性能之间达到了最佳权衡。