[论文解读] Understanding the Intrinsic Robustness of Image Distributions using Conditional Generative Models

Xiao Zhang, Jinghui Chen+2 more|arXiv (Cornell University)|Feb 29, 2020

Adversarial Robustness in Machine Learning被引用 7

一句话总结

本文利用条件生成模型，建立了自然图像分布的内在鲁棒性的理论边界，表明当前最先进的鲁棒分类器在 $ε$-球 $µ_2$ 扰动下仍远未达到这些理论极限。本文提出一种方法以搜索分布内的对抗样本，并通过实证结果表明，在 MNIST 和 ImageNet 上，理论鲁棒性边界与当前模型性能之间存在显著差距。

ABSTRACT

Starting with Gilmer et al. (2018), several works have demonstrated the inevitability of adversarial examples based on different assumptions about the underlying input probability space. It remains unclear, however, whether these results apply to natural image distributions. In this work, we assume the underlying data distribution is captured by some conditional generative model, and prove intrinsic robustness bounds for a general class of classifiers, which solves an open problem in Fawzi et al. (2018). Building upon the state-of-the-art conditional generative models, we study the intrinsic robustness of two common image benchmarks under $\\ell_2$ perturbations, and show the existence of a large gap between the robustness limits implied by our theory and the adversarial robustness achieved by current state-of-the-art robust models. Code for all our experiments is available at https://github.com/xiaozhanguva/Intrinsic-Rob.

研究动机与目标

• 解决 Fawzi 等人（2018）提出的关于自然图像分布内在鲁棒性边界的开放问题。
• 弥合理论鲁棒性极限与最先进的对抗训练模型性能之间的差距。
• 开发一种在数据流形上搜索分布内对抗样本的方法。
• 使用最先进的条件生成模型，对 MNIST 和 ImageNet 进行内在鲁棒性的实证评估。
• 刻画分布内对抗风险与内在鲁棒性之间的关系。

提出的方法

• 理论分析证明了在数据分布由条件生成模型捕捉的假设下，内在鲁棒性的基本边界。
• 该方法使用推前测度 $g_* (\nu)$，通过将潜在变量 $\bm{z}$ 映射到图像 $\bm{x}$ 的生成器 $g$ 来建模数据分布。
• 提出一种优化框架，通过在扰动约束 $\Delta(\bm{x}, \bm{x}') \leq \epsilon$ 下最小化 $\|G(\bm{z}, y) - \bm{x}\|_2$，以搜索分布内的对抗样本。
• 该方法采用对正则化参数 $\lambda$ 的二分查找，以平衡扰动大小与对抗成功度。
• 初始化时，使用最小化重建误差的潜在码 $\bm{z}_{\text{init}}$ 或生成测试图像时使用的真正 $\bm{z}^*$。
• 实验使用在 MNIST 和 ImageNet10 上基于 $\ell_2$-范数鲁棒性目标训练的 LP-Certify、Adv-Train 和 TRADES 模型。

实验结果

研究问题

• RQ1 在假设条件生成模型能捕捉数据分布的前提下，自然图像分布的 $\ell_2$ 扰动下内在鲁棒性的理论上限是多少？
• RQ2 理论鲁棒性极限与最先进的对抗训练模型所实现的鲁棒性相比如何？
• RQ3 能否通过潜在空间优化框架有效搜索到分布内的对抗样本？
• RQ4 分布内对抗风险与内在鲁棒性之间的关系是什么？
• RQ5 当前鲁棒模型在多大程度上未能达到由数据分布所隐含的理论鲁棒性极限？

主要发现

• 在 $\ell_2$ 扰动下，MNIST 的理论内在鲁棒性边界约为 1.85，而最佳鲁棒模型仅达到 1.35。
• 对于 ImageNet10，内在鲁棒性边界约为 2.15，但最佳鲁棒模型仅达到 1.55，表明存在显著的性能差距。
• 所提出的优化方法成功找到了位于数据流形上的分布内对抗样本，验证了其有效性。
• 分布内对抗风险与内在鲁棒性之间存在形式化关联，理论边界作为可实现鲁棒性的硬性上限。
• 实证结果表明，即使是最强的认证模型和对抗训练模型，也未能达到由数据分布所隐含的理论鲁棒性极限。
• 在 MNIST 和 ImageNet10 上，理论与实践之间的差距持续存在，表明当前鲁棒训练方法存在根本性局限。