[论文解读] Understanding Adversarial Examples from the Mutual Influence of Images and Perturbations

Chaoning Zhang, Philipp Benz+2 more|arXiv (Cornell University)|Jul 13, 2020

Adversarial Robustness in Machine Learning参考文献 50被引用 4

一句话总结

该论文提出了一种新颖的框架，将DNN logits视为特征向量，利用皮尔逊相关系数（PCC）分析干净图像与对抗性扰动之间的相互影响。研究发现，通用对抗性扰动（UAPs）包含主导特征，而图像则对它们表现为噪声，从而实现了仅使用代理数据集的首个无需原始训练数据的定向UAP生成方法——其性能与需要原始训练数据的最先进方法相当。

ABSTRACT

A wide variety of works have explored the reason for the existence of adversarial examples, but there is no consensus on the explanation. We propose to treat the DNN logits as a vector for feature representation, and exploit them to analyze the mutual influence of two independent inputs based on the Pearson correlation coefficient (PCC). We utilize this vector representation to understand adversarial examples by disentangling the clean images and adversarial perturbations, and analyze their influence on each other. Our results suggest a new perspective towards the relationship between images and universal perturbations: Universal perturbations contain dominant features, and images behave like noise to them. This feature perspective leads to a new method for generating targeted universal adversarial perturbations using random source images. We are the first to achieve the challenging task of a targeted universal attack without utilizing original training data. Our approach using a proxy dataset achieves comparable performance to the state-of-the-art baselines which utilize the original training dataset.

研究动机与目标

• 理解在通用对抗攻击中，干净图像与对抗性扰动之间的内在关系。
• 通过分析DNN logits中的特征主导性，挑战将扰动视为噪声的传统观点。
• 开发一种在无原始训练数据访问权限下生成定向通用对抗扰动的方法。
• 验证代理数据集（如COCO）在数据稀缺场景下用于定向UAP生成的有效性。

提出的方法

• 将DNN logits输出视为特征分析的向量表示，而非仅关注最高激活类别。
• 使用皮尔逊相关系数（PCC）量化两个独立输入（如图像与扰动）对组合logits向量的线性影响。
• 通过计算单个输入的logits向量与其和的PCC，解耦干净图像与扰动的贡献。
• 利用UAP在图像上占主导地位的洞察，设计一种使用随机源图像作为代理数据集的定向UAP生成方法。
• 在公式(4)中制定非定向损失函数，以避免梯度阻断，实现自动类别主导性搜索。
• 通过不同网络架构上的欺骗率和迁移性指标评估性能。

实验结果

研究问题

• RQ1 在通用对抗样本中，干净图像与对抗性扰动如何相互影响DNN的logits表示？
• RQ2 与所应用的图像特征相比，通用对抗性扰动是否包含主导特征？
• RQ3 在DNN特征空间的语境下，图像是否可被视为相对于通用对抗性扰动特征的噪声？
• RQ4 在无原始训练数据访问权限的情况下，是否可行生成定向通用对抗性扰动？
• RQ5 无需原始训练数据的定向UAP生成性能与使用原始训练数据的最先进方法相比如何？

主要发现

• 皮尔逊相关系数（PCC）分析表明，对抗样本（AEs）与通用对抗性扰动（UAPs）强相关，但与原始干净图像弱相关。
• UAPs在DNN特征空间中表现出主导特征，而输入图像则对它们表现为噪声，这挑战了将扰动视为加性噪声的传统认知。
• 所提出的方法仅使用代理数据集（如COCO）即可生成定向UAP，在Inception-V3上实现了53.4%的定向欺骗率，超过先前使用原始ImageNet数据的最先进水平52%。
• 即使无原始训练数据访问权限，该方法性能仍可与最先进数据无关的UAP生成方法相媲美，证明了其实际可行性。
• UAP的非定向迁移性表现合理，尤其在相似架构（如VGG16与VGG19）之间更强，PCC值表明特征相似度更高。
• 定向迁移性较低，尤其在不同网络家族之间，与图像依赖性攻击中的发现一致，且PCC为网络迁移性提供了额外洞察。