基于信任区域高效对抗攻击方法研究.pdfVIP

基于信任区域的对抗在神经网络中的应用

1121112

阿米尔·米库尔特·凯泽迈克尔·W·马洛尼加州大学伯克利分校

12

斯坦福大学{zheweiy,amirgh,keutzer,andmahoneymw}@berkeley.edu,

pengxu@stanford.edu

深度神经网络非常容易受到对抗扰动的影响。当

前最先进的对抗方法通常需要耗费大量时间的超

参数调优，或者需要多次迭代来求解基于优化的对抗

。为了解决这个问题，我们提出了一种新的基于

信任区域的对抗方法族，旨在高效地计算对抗扰

动。我们基于信任区域优化方法的变体提出了几种攻

击方式。我们在Cifar‑10和ImageNet数据集上测试了

所方法，使用的模型包括AlexNet、

ResNet‑50、VGG‑16和DenseNet‑121。我们的方法与

Carlini‑Wagner（CW）取得了相当的结果，但

在速度上有显著提升，对于VGG‑16模型在TitanXp

GPU上的速度最高提升了37×倍。对于

ImageNet上的ResNet‑50模型，我们可以在最多1.5

%的相对L（或L）扰动下将其分类准确率降至

∞2

0.1%以下，仅需1.02秒，而CW则需要27.04秒。

我们的方法已开源，地址为[1]。

1.引言

深度神经网络（DNNs）在许多研究领域（如分

类、目标检测和自然语言处理）中取得了令人瞩目的成

果。然而，的研究表明，深度神经网络

（DNNs）通常对输入数据的对抗扰动并不鲁棒[8,图1：在AlexNet上，DeepFool、CW和我们的TR的

26]。这已成为深度神经网络部署中的一个主要，并示例，其中使用L2范数。CW和TR的扰动在幅度上更

已开展了大量研究来应对这一问题。这些研究大致可分小且更具针对性，优于DeepFool的结果（此处2×更小）。

为三类：（i）寻找防御对抗输入策略的研究（迄今为TR获得的扰动与CW相当，但15×速度更快。在

止成效甚微）；（ii）提出更强的方法，以突破现VGG‑16网络中，我们实现了更高的加速比37.5×（请

有的防御机制；（iii）将方法作为神经网络训练中参见图4中的时间对比）。

的一种隐式对抗正则化形式[23,28,29]。我们的主要兴

趣在于

致力于寻找更有效的方法，可用于后两个方向。这种对

TrustRegionBasedAdversarialAttackonNeuralNetworks

ZheweiYao1AmirGholami1PengXu2KurtKeutzer1MichaelW.Mahoney1

1UniversityofCalifornia,Berkeley2StanfordUniveristy

1{zheweiy,amirgh,keutzer,andmahoneymw}@berkeley.edu,2pengxu@stanford.edu

DeepNeuralNetworksarequitevulnerabletoadver-

sarialperturbations.Currentstate-of-the-artadversar-

ialattackmethodstypicallyrequireverytimeconsuming

hyper-parametertuning,orrequiremanyiterationsto

solveanoptimizationba