[论文解读] Towards Verifying Robustness of Neural Networks Against Semantic Perturbations

Jeet Mohapatra, Tsui-Wei+4 more|arXiv (Cornell University)|Dec 19, 2019

Adversarial Robustness in Machine Learning参考文献 16被引用 13

一句话总结

该论文提出 Semantify-NN，一种模型无关的框架，通过插入语义扰动层（SP-layer）将语义扰动威胁模型转化为等价的 ℓp-范数有界模型，从而实现对神经网络在语义扰动（如色彩偏移、旋转和亮度变化）下的鲁棒性验证。该方法相较于朴素的 ℓp-基验证，可将鲁棒性证书收紧 2–3 个数量级，且通过输入分割和精炼技术进一步提升性能。

ABSTRACT

Verifying robustness of neural networks given a specified threat model is a fundamental yet challenging task. While current verification methods mainly focus on the $\ell_p$-norm threat model of the input instances, robustness verification against semantic adversarial attacks inducing large $\ell_p$-norm perturbations, such as color shifting and lighting adjustment, are beyond their capacity. To bridge this gap, we propose extit{Semantify-NN}, a model-agnostic and generic robustness verification approach against semantic perturbations for neural networks. By simply inserting our proposed extit{semantic perturbation layers} (SP-layers) to the input layer of any given model, extit{Semantify-NN} is model-agnostic, and any $\ell_p$-norm based verification tools can be used to verify the model robustness against semantic perturbations. We illustrate the principles of designing the SP-layers and provide examples including semantic perturbations to image classification in the space of hue, saturation, lightness, brightness, contrast and rotation, respectively. In addition, an efficient refinement technique is proposed to further significantly improve the semantic certificate. Experiments on various network architectures and different datasets demonstrate the superior verification performance of extit{Semantify-NN} over $\ell_p$-norm-based verification frameworks that naively convert semantic perturbation to $\ell_p$-norm. The results show that extit{Semantify-NN} can support robustness verification against a wide range of semantic perturbations. Code available https://github.com/JeetMo/Semantify-NN

研究动机与目标

• 为解决当前 ℓp-基验证工具难以有效处理因导致大 ℓp-范数扰动而产生的语义对抗攻击所造成的鲁棒性验证空白。
• 开发一种模型无关的框架，扩展现有 ℓp-范数验证工具，以支持广泛的语义扰动类型，且无需重新训练模型。
• 设计语义扰动层（SP-layer），以兼容 ℓp-基验证的方式，精确建模如色调、饱和度、亮度、对比度、旋转和遮挡等语义变换。
• 通过高效的精炼技术（特别是输入分割和精炼）提升验证紧致性，缩小认证下界与实际攻击鲁棒性之间的差距。
• 在多样化的数据集（MNIST、CIFAR-10、GTSRB）、网络架构（MLP、CNN）和语义攻击类型上，通过实证验证该框架，展示其优越的鲁棒性认证能力。

提出的方法

• 引入语义扰动层（SP-layer），将输入数据转换为一种表示形式，使语义扰动对应于有界的 ℓp-范数扰动，从而与现有 ℓp-基验证工具兼容。
• 为特定语义变换设计 SP-layer：HSL 空间变换（色调、饱和度、明度）、亮度/对比度调整、旋转、平移和遮挡，每类均建模为可微分且有界的变换。
• 应用输入空间精炼与分割技术以收紧认证边界，尤其针对旋转等非线性变换，通过将输入空间划分为更小区间以实现更精确的验证。
• 采用隐式与显式分割策略：隐式分割通过增加区间数量以提升鲁棒性估计的精度，而显式分割则在选定区间上进一步精炼边界以提升紧致性。
• 在转换后的模型上复用现有的 ℓp-范数验证工具（如 ℓ∞、ℓ2）以计算对语义扰动的认证鲁棒性边界。
• 通过平衡计算成本与认证紧致性，优化验证流程，尤其针对高维或非线性语义空间。

实验结果

研究问题

• RQ1 能否通过一种模型无关的框架，将 ℓp-基验证扩展至如色彩偏移和光照调整等语义扰动，而这些扰动通常引发较大的 ℓp-范数扰动？
• RQ2 如何设计 SP-layer，以在保持与 ℓp-范数验证工具兼容的同时，准确表示多种语义变换（如色调、旋转、遮挡）？
• RQ3 输入分割与精炼技术在多大程度上可提升对旋转等非线性语义扰动的鲁棒性证书紧致性？
• RQ4 与直接将语义扰动映射到 RGB 空间 ℓp-范数边界的朴素 ℓp-基验证相比，Semantify-NN 在认证性能上表现如何？
• RQ5 Semantify-NN 是否能在多种语义威胁模型下，实现对多样化数据集与网络架构的可扩展且高效的验证？

主要发现

• 在 HSL 空间变换等语义扰动上，Semantify-NN 相较于朴素的 ℓp-基验证，可实现高达 2–3 个数量级更大的认证鲁棒性边界。
• 对于基于 HSL 的扰动，SP-layer 的引入使认证下界相比直接 ℓp-基转换提升了 4–50 倍，显著提升了验证紧致性。
• 输入分割与精炼技术进一步使认证边界提升 1.5–5 倍，尤其在缩小认证下界与实际攻击鲁棒性之间的差距方面效果显著。
• 对于引发高度非线性变换的旋转攻击，隐式分割后接显式分割可显著扩大可认证区间并提升紧致性，尽管计算成本较高。
• 在平移与遮挡实验中，穷举枚举的平均运行时间保持在可接受范围（低于 12 秒），且 Semantify-NN 实现了紧致边界，计算开销极低。
• 该框架在 MNIST、CIFAR-10 和 GTSRB 数据集上均表现出一致的性能提升，涵盖 MLP 与 CNN 等不同网络架构，证实了其通用性与可扩展性。