[论文解读] Stochastic Security: Adversarial Defense Using Long-Run Dynamics of Energy-Based Models

Mitch Hill, Jonathan Mitchell+1 more|arXiv (Cornell University)|May 27, 2020

Adversarial Robustness in Machine Learning参考文献 28被引用 11

一句话总结

该论文提出一种后训练防御方法，针对自然训练的分类器，利用收敛的能量模型（EBM）进行长时程马尔可夫链蒙特卡洛（MCMC）采样，通过拉让文动力学迭代优化对抗样本，实现净化。该方法在CIFAR-10、SVHN和CIFAR-100上实现了最先进的鲁棒准确率，在某些情况下优于标准对抗训练，且无需对分类器进行微调重训练。

ABSTRACT

The vulnerability of deep networks to adversarial attacks is a central problem for deep learning from the perspective of both cognition and security. The current most successful defense method is to train a classifier using adversarial images created during learning. Another defense approach involves transformation or purification of the original input to remove adversarial signals before the image is classified. We focus on defending naturally-trained classifiers using Markov Chain Monte Carlo (MCMC) sampling with an Energy-Based Model (EBM) for adversarial purification. In contrast to adversarial training, our approach is intended to secure pre-existing and highly vulnerable classifiers. The memoryless behavior of long-run MCMC sampling will eventually remove adversarial signals, while metastable behavior preserves consistent appearance of MCMC samples after many steps to allow accurate long-run prediction. Balancing these factors can lead to effective purification and robust classification. We evaluate adversarial defense with an EBM using the strongest known attacks against purification. Our contributions are 1) an improved method for training EBM's with realistic long-run MCMC samples, 2) an Expectation-Over-Transformation (EOT) defense that resolves theoretical ambiguities for stochastic defenses and from which the EOT attack naturally follows, and 3) state-of-the-art adversarial defense for naturally-trained classifiers and competitive defense compared to adversarially-trained classifiers on Cifar-10, SVHN, and Cifar-100. Code and pre-trained models are available at https://github.com/point0bar1/ebm-defense.

研究动机与目标

• 为解决自然训练的深度神经网络在不重训练的前提下抵御强白盒对抗攻击这一开放问题。
• 开发一种与对抗训练不同的后训练防御方法，且无需修改分类器的训练过程。
• 实现在CIFAR-10等复杂数据集上稳定、长时程的EBM-MCMC采样，确保去除对抗信号的同时保留语义内容。
• 提出一种鲁棒的评估框架，采用期望-变换（Expectation-Over-Transformation, EOT）方法，公平评估随机性防御方法及其对抗攻击。

提出的方法

• 该方法使用基于卷积神经网络（ConvNet）的能量模型（EBM），在无标签自然图像上进行训练，对输入图像执行拉让文动力学采样。
• 拉让文采样通过EBM梯度与注入的高斯噪声，迭代更新图像像素，使样本逐步趋向低能量（自然外观）状态。
• 通过长时程MCMC链生成净化样本，利用亚稳态行为在保持类别一致性的同时去除对抗扰动。
• 最终预测通过平均多个独立MCMC链的logits获得，近似采样分布的真实期望。
• 提出一种改进的收敛学习过程，以稳定长时程采样，实现在复杂数据集上的有效净化。
• 提出一种期望-变换（EOT）防御机制，用于鲁棒评估随机防御方法，且EOT攻击可自然地从同一框架中导出。

实验结果

研究问题

• RQ1 使用收敛EBM的长时程MCMC采样能否有效净化对抗输入并恢复自然训练分类器的鲁棒性？
• RQ2 基于EBM采样的后训练防御能否在自然训练模型上实现比标准对抗训练更高的鲁棒性？
• RQ3 如何公平评估随机防御方法，以避免因采样随机性导致的高估？
• RQ4 为实现在CIFAR-10等复杂图像数据集上的稳定、长时程采样，EBM训练需进行哪些修改？
• RQ5 基于EBM的净化方法能否在最强已知白盒攻击（包括EOT和BPDA适配的PGD）下保持有效性？

主要发现

• 所提出的EBM防御在$\ell_\infty$扰动$\varepsilon = 8/255$下于SVHN上实现67.55%的鲁棒准确率，超过标准对抗训练的50.39%。
• 在CIFAR-100上，相同攻击下该防御实现26.10%的鲁棒准确率，优于标准对抗训练的25.47%。
• 该方法在CIFAR-10、SVHN和CIFAR-100上均实现了自然训练分类器的SOTA鲁棒准确率，即使在强自适应攻击下也表现优异。
• 改进的EBM训练过程实现了在复杂数据集上的真实长时程MCMC采样，此前该方法在防御中不稳定且无效。
• EOT防御与攻击框架实现了对随机防御的公平评估，解决了以往评估中的模糊性问题。
• 该防御对最强已知攻击（包括EOT适配的PGD）有效，且在以往预处理防御失效的场景下仍保持鲁棒性。