[论文解读] Using Single-Step Adversarial Training to Defend Iterative Adversarial Examples

Guanxiong Liu, Issa Khalil+1 more|arXiv (Cornell University)|Feb 22, 2020

Adversarial Robustness in Machine Learning参考文献 20被引用 6

一句话总结

本文提出 SIM-Adv，一种新颖的单步对抗训练方法，能有效防御单步和迭代对抗样本，同时显著降低训练开销。通过在多个训练周期内迭代地将迭代对抗样本压缩为单步扰动，SIM-Adv 在 CIFAR10 上实现了 SOTA 的鲁棒准确率，相比 Madry-Adv 训练时间减少 76.03%，且测试准确率比 ATDA 高出 35.67%。

ABSTRACT

Adversarial examples have become one of the largest challenges that machine learning models, especially neural network classifiers, face. These adversarial examples break the assumption of attack-free scenario and fool state-of-the-art (SOTA) classifiers with insignificant perturbations to human. So far, researchers achieved great progress in utilizing adversarial training as a defense. However, the overwhelming computational cost degrades its applicability and little has been done to overcome this issue. Single-Step adversarial training methods have been proposed as computationally viable solutions, however they still fail to defend against iterative adversarial examples. In this work, we first experimentally analyze several different SOTA defense methods against adversarial examples. Then, based on observations from experiments, we propose a novel single-step adversarial training method which can defend against both single-step and iterative adversarial examples. Lastly, through extensive evaluations, we demonstrate that our proposed method outperforms the SOTA single-step and iterative adversarial training defense. Compared with ATDA (single-step method) on CIFAR10 dataset, our proposed method achieves 35.67% enhancement in test accuracy and 19.14% reduction in training time. When compared with methods that use BIM or Madry examples (iterative methods) on CIFAR10 dataset, it saves up to 76.03% in training time with less than 3.78% degeneration in test accuracy.

研究动机与目标

• 为解决迭代对抗训练带来的高计算成本问题，该问题限制了其在移动设备和智能家居设备等资源受限环境中的应用。
• 识别当前 SOTA 单步防御方法（如 ATDA）的评估缺陷，这些方法尽管报告性能强劲，却无法防御迭代攻击。
• 开发一种计算高效的防御方法，使其在防御单步和迭代对抗样本时均保持高鲁棒性。
• 为改进迭代对抗训练提供实用指导，包括在攻击生成过程中使用更大的每步扰动和中间样本。

提出的方法

• 所提出的 SIM-Adv 方法在多个训练周期内逐步生成对抗样本，将迭代对抗样本逐渐压缩为单步扰动。
• 采用改进的对抗训练循环，每个周期应用由多步迭代过程生成的单步对抗样本，从而有效模拟迭代攻击的鲁棒性。
• 通过调节步数和每步扰动大小（$n_1$）来平衡鲁棒性与训练效率，其中 $n_1$ 是影响性能的关键超参数。
• 利用迭代过程中的中间对抗样本暴露分类器的盲区，从而在不进行完整迭代训练的前提下提升泛化能力。
• 训练过程在各周期间保存并恢复梯度，以保持对抗样本生成的一致性，使训练时间相比标准单步方法略有增加。
• 采用标准基准（CIFAR10、FMNIST、MNIST）在白盒威胁模型下进行评估，与 Free-Adv、ATDA、BIM-Adv 和 Madry-Adv 进行对比。

实验结果

研究问题

• RQ1 为何 SOTA 单步防御方法 ATDA 尽管报告性能强劲，却无法防御迭代对抗样本？
• RQ2 能否设计一种单步对抗训练方法，使其能鲁棒地防御单步和迭代对抗样本？
• RQ3 在保持高鲁棒性的同时，降低迭代对抗训练成本的关键设计原则是什么？
• RQ4 在单步训练框架中，使用迭代攻击的中间样本如何提升防御性能？

主要发现

• 在 CIFAR10 上，SIM-Adv 防御迭代对抗样本时，测试准确率比 ATDA 高出 35.67%，尽管 ATDA 的原始评估因扰动限制过小而具有误导性。
• 在 CIFAR10 上，SIM-Adv 相比 Madry-Adv 将训练时间减少 76.03%，同时测试准确率下降不足 3.78%。
• SIM-Adv 在防御单步和迭代对抗样本方面优于 Free-Adv 和 ATDA，展现出更优的泛化能力和稳定性。
• 与 BIM-Adv 相比，SIM-Adv 在 CIFAR10 上节省超过 75% 的训练时间，在 MNIST 和 FMNIST 上节省超过 60%，使其适用于资源受限的应用场景。
• 分析表明，ATDA 失效的原因在于使用了 FGSM 生成的样本（代表性不足）以及对随机性敏感的领域自适应损失，从而削弱了其鲁棒性。
• 使用更大的每步扰动和迭代攻击中的中间样本可显著提升防御性能，为未来方法的设计提供了可操作的指导原则。