[论文解读] TRS: Transferability Reduced Ensemble via Encouraging Gradient Diversity and Model Smoothness

Zhuolin Yang, Linyi Li+7 more|arXiv (Cornell University)|Apr 1, 2021

Adversarial Robustness in Machine Learning参考文献 59被引用 7

一句话总结

本文提出 TRS，一种新颖的集成训练方法，通过同时促进基础模型的梯度正交性和模型平滑性，降低对抗性可迁移性。理论上，该文证明了梯度相似性和模型平滑性是影响对抗性可迁移性的关键因素；实验上，TRS 在 MNIST、CIFAR-10 和 CIFAR-100 上对多种白盒与黑盒攻击实现了最先进水平的鲁棒性，显著优于现有集成方法。

ABSTRACT

Adversarial Transferability is an intriguing property - adversarial perturbation crafted against one model is also effective against another model, while these models are from different model families or training processes. To better protect ML systems against adversarial attacks, several questions are raised: what are the sufficient conditions for adversarial transferability and how to bound it? Is there a way to reduce the adversarial transferability in order to improve the robustness of an ensemble ML model? To answer these questions, in this work we first theoretically analyze and outline sufficient conditions for adversarial transferability between models; then propose a practical algorithm to reduce the transferability between base models within an ensemble to improve its robustness. Our theoretical analysis shows that only promoting the orthogonality between gradients of base models is not enough to ensure low transferability; in the meantime, the model smoothness is an important factor to control the transferability. We also provide the lower and upper bounds of adversarial transferability under certain conditions. Inspired by our theoretical analysis, we propose an effective Transferability Reduced Smooth(TRS) ensemble training strategy to train a robust ensemble with low transferability by enforcing both gradient orthogonality and model smoothness between base models. We conduct extensive experiments on TRS and compare with 6 state-of-the-art ensemble baselines against 8 whitebox attacks on different datasets, demonstrating that the proposed TRS outperforms all baselines significantly.

研究动机与目标

• 对深度神经网络之间对抗性可迁移性的充分条件进行理论分析。
• 开发一种实用的训练策略，以降低集成模型中的可迁移性，从而增强鲁棒性。
• 研究梯度正交性与模型平滑性在控制可迁移性方面的相互作用。
• 通过实证验证，联合强制执行梯度多样性和平滑性能显著提升集成模型的鲁棒性。
• 在特定几何与优化条件下，为对抗性可迁移性提供上下界。

提出的方法

• 提出一种训练目标，通过最小化基础模型损失梯度之间的余弦相似度，以促进梯度多样性。
• 引入基于对抗性扰动的模型平滑性正则化项，以强制实现局部线性与鲁棒性。
• 使用投影梯度下降（PGD）计算平滑性损失的内层最大化，近似最坏情况下的梯度方向。
• 将梯度正交性与平滑性项整合为统一损失函数，实现在集成训练过程中的联合优化。
• 采用类似多教师蒸馏的策略，其中基础模型在共享数据上同时训练，并应用互补正则化。
• 将 TRS 训练过程应用于标准架构（如 ResNet-20）在 MNIST、CIFAR-10 和 CIFAR-100 上的训练。

实验结果

研究问题

• RQ1 哪些充分条件可保证深度神经网络之间具有低对抗性可迁移性？
• RQ2 仅梯度正交性是否足以确保低可迁移性？模型平滑性是否也必不可少？
• RQ3 梯度相似性与模型平滑性如何共同影响对抗性可迁移性的上下界？
• RQ4 一种同时强制执行梯度多样性与模型平滑性的训练策略，能否显著降低集成模型中的可迁移性？
• RQ5 所提出的 TRS 方法在多种白盒与黑盒攻击下，是否优于最先进水平的集成基线方法？

主要发现

• TRS 在 MNIST、CIFAR-10 和 CIFAR-100 上实现了最先进水平的鲁棒准确率，全面超越 DVERGE、GAL 和 ADP 等基线方法。
• 在 MNIST 上 ε=0.3 时，TRS 对 ILA 攻击的鲁棒准确率为 91.2%，对 DI2-FGSM 攻击为 93.7%，对 IRA 攻击为 84.4%，分别高于 DVERGE 的 89.5%、91.6% 和 82.0%。
• 在 CIFAR-10 上 ε=0.05 时，TRS 对 ILA 攻击的鲁棒准确率为 46.2%，对 DI2-FGSM 攻击为 50.0%，对 IRA 攻击为 45.1%，显著优于 DVERGE 的 35.9%、38.3% 和 32.4%。
• 在 CIFAR-100 上，TRS 在 CW 攻击（c=0.01）下达到 45.7% 的鲁棒准确率，优于 DVERGE 的 44.8%；在 CW 攻击（c=0.1）下达到 26.9%，优于 DVERGE 的 20.3%。
• 消融研究显示，增加 PGD 步数（T）可提升鲁棒性，其中在 MNIST 上 T=6 时在成本与性能之间实现了良好平衡。
• TRS 中的梯度正交性与平滑性组件均对鲁棒性有显著贡献，消融实验表明，若移除任一成分，性能均明显下降。