[论文解读] Securing Deep Spiking Neural Networks against Adversarial Attacks through Inherent Structural Parameters

Rida El-Allami, Alberto Marchisio+2 more|arXiv (Cornell University)|Dec 9, 2020

Advanced Memory and Neural Computing参考文献 45被引用 33

一句话总结

该论文研究脉冲神经网络对对抗攻击的鲁棒性如何取决于内部结构参数（阈值电压和时间窗），在强白盒攻击下相对于传统 CNN 显示出显著的鲁棒性提升，并提供可重复研究的开源工具。

ABSTRACT

Deep Learning (DL) algorithms have gained popularity owing to their practical problem-solving capacity. However, they suffer from a serious integrity threat, i.e., their vulnerability to adversarial attacks. In the quest for DL trustworthiness, recent works claimed the inherent robustness of Spiking Neural Networks (SNNs) to these attacks, without considering the variability in their structural spiking parameters. This paper explores the security enhancement of SNNs through internal structural parameters. Specifically, we investigate the SNNs robustness to adversarial attacks with different values of the neuron's firing voltage thresholds and time window boundaries. We thoroughly study SNNs security under different adversarial attacks in the strong white-box setting, with different noise budgets and under variable spiking parameters. Our results show a significant impact of the structural parameters on the SNNs' security, and promising sweet spots can be reached to design trustworthy SNNs with 85% higher robustness than a traditional non-spiking DL system. To the best of our knowledge, this is the first work that investigates the impact of structural parameters on SNNs robustness to adversarial attacks. The proposed contributions and the experimental framework is available online to the community for reproducible research.

研究动机与目标

• 评估脉冲神经网络对对抗攻击的鲁棒性如何受内部结构参数（阈值电压 V_th 和时间窗 T）影响。
• 确定 SNNs 是否具备固有鲁棒性，以及这种鲁棒性如何取决于所选择的 V_th 和 T 值。
• 识别在不牺牲可学习性或准确性的情况下提高鲁棒性的参数区域。

提出的方法

• 建立一个系统的鲁棒性探索框架，测试多组 V_th 和 T 的组合。
• 在 MNIST 上使用 Norse 框架对 Lenet-5 的脉冲形式进行训练，并在强白盒 PGD 攻击下评估鲁棒性。
• 通过设定基线准确率阈值 (A_th = 70%) 作为鲁棒性测试前提，使用可学习性筛选。
• 在不同噪声预算 ε 下使用 PGD 生成对抗样本，并以鲁棒性定义为 1 - (成功攻击数 / 总样本数) 进行衡量。
• 将 SNN 的鲁棒性在参数设定下与在同一数据集上训练的 CNN 基线进行比较。

实验结果

研究问题

• RQ1 (Q1) 脉冲结构参数（V_th 和 T）如何影响 SNN 在对抗攻击下的行为？
• RQ2 (Q2) SNN 是否固有对抗攻击鲁棒，且这种鲁棒性如何随 V_th 和 T 而变化？
• RQ3 (Q3) 高的基线可学习性是否意味着高鲁棒性，还是某些参数选择能够同时实现可学习性与安全性？

主要发现

• 结构参数 (V_th, T) 显著影响 SNN 对对抗攻击的鲁棒性。
• SNN 显示出固有鲁棒性，并且强烈受所选 V_th 和 T 值的约束。
• 高的基线可学习性并不保证在攻击下的鲁棒性。
• 某些参数组合比 CNN 的鲁棒性高得多；例如，(V_th, T) = (1, 48) 在强攻击下达到比 CNN 高出最多 85% 的鲁棒性。
• 在 ε = 1.5 的 PGD 攻击下，5 层 SNN 在 MNIST 上的准确率可比 CNN 提高最多 84%。
• 该研究提供用于可重复研究的开源代码，可在项目仓库中获取。