[论文解读] Shield: Fast, Practical Defense and Vaccination for Deep Learning using JPEG Compression

Nilaksh Das, Madhuri Shanbhogue+6 more|arXiv (Cornell University)|Feb 19, 2018

Adversarial Robustness in Machine Learning参考文献 31被引用 48

一句话总结

Shield 使用 JPEG 压缩、vaccination 和随机局部量化来防御对抗性图像攻击，在 ImageNet 上实现高鲁棒性和快速运行时间且无需改变模型。

ABSTRACT

The rapidly growing body of research in adversarial machine learning has demonstrated that deep neural networks (DNNs) are highly vulnerable to adversarially generated images. This underscores the urgent need for practical defense that can be readily deployed to combat attacks in real-time. Observing that many attack strategies aim to perturb image pixels in ways that are visually imperceptible, we place JPEG compression at the core of our proposed Shield defense framework, utilizing its capability to effectively "compress away" such pixel manipulation. To immunize a DNN model from artifacts introduced by compression, Shield "vaccinates" a model by re-training it with compressed images, where different compression levels are applied to generate multiple vaccinated models that are ultimately used together in an ensemble defense. On top of that, Shield adds an additional layer of protection by employing randomization at test time that compresses different regions of an image using random compression levels, making it harder for an adversary to estimate the transformation performed. This novel combination of vaccination, ensembling, and randomization makes Shield a fortified multi-pronged protection. We conducted extensive, large-scale experiments using the ImageNet dataset, and show that our approaches eliminate up to 94% of black-box attacks and 98% of gray-box attacks delivered by the recent, strongest attacks, such as Carlini-Wagner's L2 and DeepFool. Our approaches are fast and work without requiring knowledge about the model.

研究动机与目标

• 在实时环境中激发对对抗性攻击的实用防御需求。
• 提出以 JPEG 为核心的基于压缩的防御，以去除扰动。
• 引入疫苗化和集成以提高对压缩的鲁棒性。
• 引入随机量化以阻碍攻击者对防御的估计。
• 通过广泛实验展示在 ImageNet 上的可扩展性和速度。

提出的方法

• 将 JPEG 压缩作为预处理防御来去除扰动，同时保留良性准确率。
• 通过在压缩图像上重新训练来疫苗化模型，以提高对压缩伪影的鲁棒性。
• 引入随机关联量化（SLQ）：在推理过程中对每个块随机分配 JPEG 质量。
• 对在不同 JPEG 质量下训练的疫苗化模型进行集成，以提高防御鲁棒性。
• 在 ImageNet 上对 ResNet-v2 50 进行对 CW-L2、DeepFool、I-FGSM、FGSM 等强攻击的评估。
• 在精度和速度方面与去噪基线（Median Filter, TVD）进行对比。

实验结果

研究问题

• RQ1 基于 JPEG 的预处理在不同攻击类型下中和对抗扰动的效果如何？
• RQ2 疫苗化（在压缩图像上训练）是否能提高对压缩和攻击的鲁棒性？
• RQ3 随机块级量化（SLQ）和模型集成能否比单一量化方法提供更强大、更新更快的防御？
• RQ4 防御效果与良性图像准确性之间有哪些权衡，以及 Shield 相比现有去噪方法的表现？

主要发现

• 在如 CW-L2 和 DeepFool 这样的强攻击下，消除多达 94% 的黑盒攻击与多达 98% 的灰盒攻击。
• JPEG 基于预处理本身在多种攻击下就能恢复 substantial accuracy；Shield 在高扰动下进一步提升结果。
• 疫苗化和集成策略提供有利的精度/计算权衡，成本更低即可匹配或超过更大规模的集成。
• 带有随机化每块质量的 SLQ 通过防止攻击者估计变换来增强鲁棒性。
• 基于 JPEG 的防御显著比替代方案更快（对 5 万张图像，JPEG 约 107 秒；TVD 和 MF 较慢）。
• Shield 在维持具有竞争力的良性图像准确性的同时恢复了相当程度的对抗性降级准确性。