[论文解读] Shift Invariance Can Reduce Adversarial Robustness

Songwei Ge, Vasu Singla+2 more|arXiv (Cornell University)|Mar 3, 2021

Adversarial Robustness in Machine Learning参考文献 59被引用 6

一句话总结

本文表明，卷积神经网络（CNN）中的平移不变性会通过仅依赖于直流分量来缩小类别之间的边际，从而降低对抗鲁棒性，导致显著更小的对抗扰动。通过在MNIST、Fashion-MNIST、SVHN、CIFAR-10和ImageNet上的理论分析与实验，表明即使在真实世界设置中，具有平移不变性的网络也明显不如全连接或不变性较低的架构鲁棒。

ABSTRACT

Shift invariance is a critical property of CNNs that improves performance on classification. However, we show that invariance to circular shifts can also lead to greater sensitivity to adversarial attacks. We first characterize the margin between classes when a shift-invariant linear classifier is used. We show that the margin can only depend on the DC component of the signals. Then, using results about infinitely wide networks, we show that in some simple cases, fully connected and shift-invariant neural networks produce linear decision boundaries. Using this, we prove that shift invariance in neural networks produces adversarial examples for the simple case of two classes, each consisting of a single image with a black or white dot on a gray background. This is more than a curiosity; we show empirically that with real datasets and realistic architectures, shift invariance reduces adversarial robustness. Finally, we describe initial experiments using synthetic data to probe the source of this connection.

研究动机与目标

• 探究CNN中的平移不变性是否导致对抗脆弱性。
• 理论分析平移不变性如何影响线性分类器中的边际。
• 证明平移不变性会降低简单和真实世界神经网络架构中的鲁棒性。
• 分离分析由于平移不变性导致的数据维度增加与边际减小对对抗鲁棒性的影响。
• 提供实证与合成证据，将平移不变性与实际深度学习模型中鲁棒性的下降联系起来。

提出的方法

• 对线性、平移不变分类器的理论分析表明，边际仅取决于输入信号直流分量的差异。
• 利用神经正切核（NTK）和卷积神经正切核（CNTK）证明，在无限宽度极限下，全连接网络与平移不变CNN均产生线性决策边界。
• 在MNIST、Fashion-MNIST、SVHN、CIFAR-10和ImageNet上，通过测量对抗样本的$L_2$距离，对全连接网络与平移不变CNN进行实证比较，以评估对抗鲁棒性。
• 通过控制内在维度与边际的合成数据实验，隔离平移不变性对鲁棒性的影响。
• 系统性地改变CNN中平移不变性的程度，观察对抗鲁棒性的变化。
• 使用DDN攻击生成对抗样本，并将鲁棒性度量为使模型失效所需的最小$L_2$扰动。

实验结果

研究问题

• RQ1 CNN中的平移不变性是否降低对抗鲁棒性？如果是，原因是什么？
• RQ2 平移不变性如何影响线性分类器中类别之间的边际？
• RQ3 平移不变网络中鲁棒性的降低是否可归因于不变性导致的线性边际减小？
• RQ4 由于平移不变性导致的有效数据维度增加是否独立地降低鲁棒性？
• RQ5 与AlexNet或Transformer相比，平移不变性在真实世界数据集和架构（如ResNet和VGG）中在多大程度上降低了鲁棒性？

主要发现

• 对于平移不变的线性分类器，边际仅取决于信号直流分量的差异，导致边际随输入维度$d$按$1/\sqrt{d}$缩放。
• 在一个包含单个白点或黑点的最小二分类示例中，CNN的对抗鲁棒性降至约$1/\sqrt{d}$，而全连接网络保持鲁棒，$L_2$距离接近1。
• 在MNIST和Fashion-MNIST上，全连接网络显著比平移不变CNN更鲁棒，且鲁棒性随平移不变性增强而下降。
• 在SVHN上，全连接网络优于ResNet，表明即使在标准架构中，平移不变性也会降低鲁棒性。
• 在CIFAR-10和ImageNet上，ResNet和VGG（高度平移不变）的鲁棒性低于AlexNet、FCN和基于Transformer的模型，证实了在真实世界设置中的趋势。
• 合成实验表明，当平移不变性同时增加数据维度并减小边际时，鲁棒性下降；但当边际保持不变时，鲁棒性不下降，表明边际减小——而非维度增加本身——是关键因素。