[论文解读] Training Robust Deep Neural Networks via Adversarial Noise Propagation

Aishan Liu, Xianglong Liu+4 more|arXiv (Cornell University)|Sep 19, 2019

Adversarial Robustness in Machine Learning参考文献 57被引用 14

一句话总结

本文提出对抗噪声传播（Adversarial Noise Propagation, ANP），一种在训练过程中向隐藏层注入对抗性噪声的方法，以提升深度神经网络对对抗样本和数据损坏的鲁棒性。通过采用反向-前向训练的改进方式逐层注入噪声，ANP 在不增加额外计算开销的前提下增强了模型鲁棒性，在 CIFAR-10、ImageNet 和损坏数据基准测试中显著优于现有防御方法，同时提升了隐藏表征对扰动的不敏感性。

ABSTRACT

In practice, deep neural networks have been found to be vulnerable to various types of noise, such as adversarial examples and corruption. Various adversarial defense methods have accordingly been developed to improve adversarial robustness for deep models. However, simply training on data mixed with adversarial examples, most of these models still fail to defend against the generalized types of noise. Motivated by the fact that hidden layers play a highly important role in maintaining a robust model, this paper proposes a simple yet powerful training algorithm, named \emph{Adversarial Noise Propagation} (ANP), which injects noise into the hidden layers in a layer-wise manner. ANP can be implemented efficiently by exploiting the nature of the backward-forward training style. Through thorough investigations, we determine that different hidden layers make different contributions to model robustness and clean accuracy, while shallow layers are comparatively more critical than deep layers. Moreover, our framework can be easily combined with other adversarial training methods to further improve model robustness by exploiting the potential of hidden layers. Extensive experiments on MNIST, CIFAR-10, CIFAR-10-C, CIFAR-10-P, and ImageNet demonstrate that ANP enables the strong robustness for deep models against both adversarial and corrupted ones, and also significantly outperforms various adversarial defense methods.

研究动机与目标

• 解决深度神经网络对广义噪声（包括对抗样本和现实世界中的模糊、积雪等损坏）的脆弱性问题。
• 通过利用隐藏层表征来提升模型鲁棒性，而这些表征在现有对抗防御方法中虽关键却未被充分使用。
• 开发一种无需增加计算成本的训练策略，实现高效集成到现有对抗训练框架中。
• 研究噪声注入对浅层与深层网络在鲁棒性与干净准确率方面影响的差异。

提出的方法

• ANP 通过修改的反向-前向训练过程，在反向传播期间向隐藏层注入对抗性噪声，避免额外计算开销。
• 噪声以受控方式逐层施加，通过在中间特征图上应用 PGD 攻击生成扰动，以模拟鲁棒性训练。
• 该方法与标准对抗训练正交，可与 TRADES 或 PAT 等现有技术结合，进一步提升鲁棒性。
• 通过追踪干净输入与受扰动输入（在 ε 范围内）之间的激活变化来衡量隐藏表征的不敏感性，较低的敏感度表示更高的鲁棒性。
• 利用梯度可视化评估模型与人类感知的一致性，结果表明 ANP 训练的模型产生更具语义意义的梯度。
• 该框架通过重用标准反向传播机制，仅修改隐藏层的梯度更新路径，实现高效且可扩展的训练。

实验结果

研究问题

• RQ1 向隐藏层注入对抗性噪声如何影响模型对对抗攻击和现实世界损坏的鲁棒性？
• RQ2 在噪声注入条件下，浅层与深层网络对模型鲁棒性和干净准确率的相对贡献如何？
• RQ3 ANP 是否能与现有对抗训练方法高效结合以进一步提升鲁棒性？
• RQ4 ANP 如何影响隐藏表征对输入扰动的敏感度？
• RQ5 为何浅层注入噪声可提升鲁棒性，而深层注入会损害干净准确率？

主要发现

• ANP 在 CIFAR-10 上显著提升鲁棒性，在 PGD 攻击（ε=8）下达到 49.8% 的鲁棒准确率，优于 TRADES 和 PAT。
• 在 ImageNet 上，ANP 在保持高干净准确率（82.1%）的同时，于 FGSM 攻击下实现 48.5% 的鲁棒准确率，证明其在大规模数据集上的有效性。
• ANP 训练的模型表现出更高的隐藏表征不敏感性，所有层的神经元对 ε 范围内的噪声（如 PGD 和损坏）反应更小，相比原始模型。
• 梯度可视化结果表明，ANP 训练的模型（尤其是顶层）产生更具语义意义的梯度，与边缘等感知相关特征对齐。
• 浅层（如 conv2_relu）对鲁棒性的贡献大于深层，且对浅层进行扰动带来的鲁棒性增益优于对深层扰动。
• 理论与实证分析表明，浅层在被扰动时对干净准确率的负面影响更强，表明在早期层中存在更有利于鲁棒性与准确率权衡的机制。