[论文解读] Skip Connections Matter: On the Transferability of Adversarial Examples Generated with ResNets

Dongxian Wu, Yisen Wang+3 more|arXiv (Cornell University)|Feb 14, 2020

Adversarial Robustness in Machine Learning被引用 175

一句话总结

本文揭示在 ResNet-风格的架构中跳跃连接有助于可高度转移的对抗样本，并提出 Skip Gradient Method (SGM) 以偏向梯度到跳跃连接，在多模型和攻击设置中实现了大幅转移性提升。

ABSTRACT

Skip connections are an essential component of current state-of-the-art deep neural networks (DNNs) such as ResNet, WideResNet, DenseNet, and ResNeXt. Despite their huge success in building deeper and more powerful DNNs, we identify a surprising security weakness of skip connections in this paper. Use of skip connections allows easier generation of highly transferable adversarial examples. Specifically, in ResNet-like (with skip connections) neural networks, gradients can backpropagate through either skip connections or residual modules. We find that using more gradients from the skip connections rather than the residual modules according to a decay factor, allows one to craft adversarial examples with high transferability. Our method is termed Skip Gradient Method(SGM). We conduct comprehensive transfer attacks against state-of-the-art DNNs including ResNets, DenseNets, Inceptions, Inception-ResNet, Squeeze-and-Excitation Network (SENet) and robustly trained DNNs. We show that employing SGM on the gradient flow can greatly improve the transferability of crafted attacks in almost all cases. Furthermore, SGM can be easily combined with existing black-box attack techniques, and obtain high improvements over state-of-the-art transferability methods. Our findings not only motivate new research into the architectural vulnerability of DNNs, but also open up further challenges for the design of secure DNN architectures.

研究动机与目标

• 识别影响带跳跃连接网络中对抗样本转移性的架构因素。
• 提出一种简单的基于梯度的攻击增强（SGM），使梯度偏向跳跃连接。
• 在多个源/目标模型对及对鲁棒训练模型上评估 SGM。
• 展示 SGM 如何与现有的转移技术结合以提升转移性基准。

提出的方法

• 在 ResNet-风格网络中沿跳跃连接和残差模块分解梯度。
• 引入衰减系数 gamma，使来自残差模块的梯度逐步变小，同时保留跳路径梯度。
• 通过用带偏向梯度项的更新来修改 FGSM/PGD 更新，定义 Skip Gradient Method (SGM)。
• 在 BIM/PGD 风格的攻击上演示 SGM，并在 8 个源模型和 7 个目标模型（有保护与无保护）之间评估转移性。
• 进行一个案例研究，展示在以 Inception V3 作为目标时对黑盒攻击使用 SGM 的转移增益。
• 探索 SGM 与 MI、DI、TI 的组合以及基于集合的攻击，以评估兼容性和改进。

实验结果

研究问题

• RQ1 跳跃连接如何影响梯度传导及对抗样本的转移性？
• RQ2 通过 SGM 将反向传播的梯度偏向跳跃连接，是否能改善跨模型的转移性？
• RQ3 SGM 如何与现有的转移技术（MI、DI、TI）以及对鲁棒训练目标的影响相互作用？
• RQ4 更多的跳跃连接（如 DenseNets）的存在是否会放大 SGM 的转移性收益？

主要发现

• SGM 在大多数源模型和目标架构上显著提升黑盒转移性（例如，从 DN201 到 Inception V3，转移率从 35.48% 提升到 65.38%）。
• 更多的跳跃连接在 SGM 下通常带来更大的转移性提升，在 ResNet 和 DenseNet 家族中均有显著改进。
• SGM 可以与 MI、DI、TI 结合以达到新的转移性基准（例如 MI+DI+SGM 在若干目标上达到或超过 80%）。
• 在鲁棒训练目标上构造的攻击仍然更具抗性，但 TI 通常是对抗受保护模型的最强独立转移方法，结合时 SGM 能带来额外增益。
• 衰减参数 gamma 可以在源模型上调优，以在多个潜在目标之间优化转移性，带 SGM 的基于集成的攻击保持强劲性能。
• SGM 不需要额外计算，除了标准反向传播外，因为它只在反向传递时沿残差路径缩放梯度。