[论文解读] The Effects of JPEG and JPEG2000 Compression on Attacks using Adversarial Examples

Ayse Elvan Aydemir, Alptekin Temizel+1 more|arXiv (Cornell University)|Mar 28, 2018

Adversarial Robustness in Machine Learning参考文献 9被引用 21

一句话总结

本文研究了JPEG与JPEG2000压缩作为深度学习分类器对抗样本的预处理防御方法。结果表明，由于更高的压缩效率和更低的失真，JPEG2000在减少对抗噪声方面优于JPEG，在相同PSNR水平下，尤其是在无块效应的高倍率压缩条件下，能更好地保持分类准确率。

ABSTRACT

Adversarial examples are known to have a negative effect on the performance of classifiers which have otherwise good performance on undisturbed images. These examples are generated by adding non-random noise to the testing samples in order to make classifier misclassify the given data. Adversarial attacks use these intentionally generated examples and they pose a security risk to the machine learning based systems. To be immune to such attacks, it is desirable to have a pre-processing mechanism which removes these effects causing misclassification while keeping the content of the image. JPEG and JPEG2000 are well-known image compression techniques which suppress the high-frequency content taking the human visual system into account. JPEG has been also shown to be an effective method for reducing adversarial noise. In this paper, we propose applying JPEG2000 compression as an alternative and systematically compare the classification performance of adversarial images compressed using JPEG and JPEG2000 at different target PSNR values and maximum compression levels. Our experiments show that JPEG2000 is more effective in reducing adversarial noise as it allows higher compression rates with less distortion and it does not introduce blocking artifacts.

研究动机与目标

• 评估JPEG与JPEG2000压缩作为对抗样本预处理防御方法的有效性。
• 比较JPEG与JPEG2000在对抗噪声下保持图像分类准确率的性能表现。
• 分析不同PSNR水平与最大压缩比对分类器对抗攻击鲁棒性的影响。
• 确定JPEG2000更优的压缩特性是否能更有效地降低对抗噪声。

提出的方法

• 作者对在ImageNet预训练模型上使用FGSM与PGD攻击生成的对抗样本应用JPEG与JPEG2000压缩。
• 通过设定不同的目标PSNR值与最大压缩级别，评估在不同失真水平下的鲁棒性。
• 压缩后测量分类准确率，以评估噪声抑制效果。
• 实验在标准数据集上使用预训练模型进行，结果在不同压缩技术与PSNR水平间进行对比。
• 评估JPEG2000在抑制高频对抗噪声的同时，最小化JPEG中常见的块效应的能力。
• 研究采用top-1准确率与PSNR等定量指标，比较性能与鲁棒性。

实验结果

研究问题

• RQ1 在保持分类准确率的前提下，JPEG2000压缩相较于JPEG在减少对抗噪声方面表现如何？
• RQ2 不同PSNR水平对JPEG与JPEG2000压缩后分类器鲁棒性的影响是什么？
• RQ3 在相同或更高的压缩速率下，JPEG2000是否能保持比JPEG更高的分类准确率？
• RQ4 JPEG中的块效应在多大程度上降低了压缩作为防御机制的有效性？
• RQ5 JPEG2000更高的压缩效率与更低的失真是否能提升对对抗攻击的抗性？

主要发现

• JPEG2000在保持更低失真，尤其是在高倍率压缩下，实现了比JPEG更高的压缩率。
• 在相同PSNR值下，JPEG2000在对抗样本上保持的分类准确率高于JPEG。
• JPEG在高倍率压缩下引入明显的块效应，导致模型鲁棒性下降，分类性能降低。
• JPEG2000凭借其优越的子带编码与平滑量化，能有效抑制高频对抗噪声。
• 高效率压缩与低失真相结合，使JPEG2000作为预处理防御手段比JPEG更有效。
• 结果表明，在相同压缩条件下，JPEG2000在高噪声环境下比JPEG更好地保持了分类准确率。