[论文解读] Towards Robust Training of Neural Networks by Regularizing Adversarial Gradients

Fuxun Yu, Zirui Xu+3 more|arXiv (Cornell University)|May 23, 2018

Adversarial Robustness in Machine Learning参考文献 14被引用 7

一句话总结

本文提出了一种新颖的鲁棒训练方法，通过梯度损失函数和双反向传播对对抗梯度进行正则化，显著提升了神经网络对FGSM、C&W及可迁移攻击的鲁棒性，且训练过程中无需使用对抗样本。该方法在极低训练开销下实现了最先进水平的准确率提升。

ABSTRACT

In recent years, neural networks have demonstrated outstanding effectiveness in a large amount of applications.However, recent works have shown that neural networks are susceptible to adversarial examples, indicating possible flaws intrinsic to the network structures. To address this problem and improve the robustness of neural networks, we investigate the fundamental mechanisms behind adversarial examples and propose a novel robust training method via regulating adversarial gradients. The regulation effectively squeezes the adversarial gradients of neural networks and significantly increases the difficulty of adversarial example generation.Without any adversarial example involved, the robust training method could generate naturally robust networks, which are near-immune to various types of adversarial examples. Experiments show the naturally robust networks can achieve optimal accuracy against Fast Gradient Sign Method (FGSM) and C\&W attacks on MNIST, Cifar10, and Google Speech Command dataset. Moreover, our proposed method also provides neural networks with consistent robustness against transferable attacks.

研究动机与目标

• 通过针对根本原因——即放大微小扰动的大一阶梯度——来解决神经网络对对抗样本的脆弱性。
• 开发一种在训练过程中无需依赖对抗样本即可增强鲁棒性的训练方法。
• 设计一种专门针对对抗梯度的梯度正则化器，同时保持正常分类性能。
• 通过端到端的鲁棒训练，提升对白盒攻击和可迁移攻击的抵抗能力。

提出的方法

• 引入一种梯度损失函数，惩罚与对抗方向相关的较大一阶梯度。
• 设计一种基于logits的梯度正则化器，利用网络logits和标签信息来区分对抗梯度与正常梯度。
• 采用双反向传播计算梯度损失的二阶梯度，实现网络权重与梯度调节的联合优化。
• 将梯度正则化损失与标准交叉熵损失结合，在统一训练过程中同时保持准确率并提升鲁棒性。
• 在标准训练中应用该方法，每步仅增加一次反向传播，显著降低计算开销。
• 通过在少量训练周期内对现有网络（如AlexNet和VGG）应用正则化，实现鲁棒性的微调。

实验结果

研究问题

• RQ1 能否通过直接调节神经网络中一阶梯度的大小来提升对抗鲁棒性？
• RQ2 如何设计一种梯度正则化器，以选择性地抑制对抗梯度而不损害干净样本的准确率？
• RQ3 梯度正则化是否能有效提升对白盒攻击和可迁移攻击的鲁棒性？
• RQ4 是否可以在不生成训练期间的对抗样本的前提下实现鲁棒性提升，从而降低训练成本？
• RQ5 与Min-Max对抗训练相比，该方法在效率和有效性方面表现如何？

主要发现

• 在MNIST上，该方法对FGSM攻击的准确率提升至30%–91%；在CIFAR10上为26%–53%；在Google Speech Command数据集上为16%–55%。
• 面对强攻击C&W，该方法将准确率从接近零恢复至MNIST的32%–92%，CIFAR10的17%–48%，以及Google Speech Command的9%–48%。
• 在可迁移攻击下，模型在MNIST上达到最高50%的准确率，CIFAR10上为80%，Google Speech Command上为40%，显著优于标准模型。
• 在CIFAR10上，该方法仅需12分钟即可完成10,000步训练，而Min-Max训练则超过1小时16分钟。
• 网络中的权重分布向更低方差和更低均值方向压缩，表明正则化器促进了更小、更稳定的权重。
• 该方法在鲁棒性和训练效率方面均优于当前最先进水平的梯度正则化技术与Min-Max训练。