深度神经网络具有脆弱性,容易被精心设计的对抗样本攻击.梯度攻击方法在白盒模型上攻击成功率较高,但在黑盒模型上的迁移性较弱.基于Heavy-ball型动量和Nesterov型动量的梯度攻击方法由于在更新方向上考虑了历史梯度信息,提升了对抗样...深度神经网络具有脆弱性,容易被精心设计的对抗样本攻击.梯度攻击方法在白盒模型上攻击成功率较高,但在黑盒模型上的迁移性较弱.基于Heavy-ball型动量和Nesterov型动量的梯度攻击方法由于在更新方向上考虑了历史梯度信息,提升了对抗样本的迁移性.为了进一步使用历史梯度信息,本文针对收敛性更好的Nesterov型动量方法,使用自适应步长策略代替目前广泛使用的固定步长,提出了一种方向和步长均使用历史梯度信息的迭代快速梯度方法(Nesterov and Adaptive-learning-rate based Iterative Fast Gradient Method,NAI-FGM).此外,本文还提出了一种线性变换不变性(Linear-transformation Invariant Method,LIM)的数据增强方法 .实验结果证实了NAI-FGM攻击方法和LIM数据增强策略相对于同类型方法均具有更高的黑盒攻击成功率.组合NAI-FGM方法和LIM策略生成对抗样本,在常规训练模型上的平均黑盒攻击成功率达到87.8%,在对抗训练模型上的平均黑盒攻击成功率达到57.5%,在防御模型上的平均黑盒攻击成功率达到67.2%,均超过现有最高水平.展开更多
当前对抗训练(AT)及其变体被证明是防御对抗攻击的最有效方法,但生成对抗样本的过程需要庞大的计算资源,导致模型训练效率低、可行性不强;快速AT(Fast-AT)使用单步对抗攻击代替多步对抗攻击加速训练过程,但模型鲁棒性远低于多步AT方法...当前对抗训练(AT)及其变体被证明是防御对抗攻击的最有效方法,但生成对抗样本的过程需要庞大的计算资源,导致模型训练效率低、可行性不强;快速AT(Fast-AT)使用单步对抗攻击代替多步对抗攻击加速训练过程,但模型鲁棒性远低于多步AT方法且容易发生灾难性过拟合(CO)。针对这些问题,提出一种基于随机噪声和自适应步长的Fast-AT方法。首先,在生成对抗样本的每次迭代中,通过对原始输入图像添加随机噪声增强数据;其次,累积训练过程中每个对抗样本的梯度,并根据梯度信息自适应地调整对抗样本的扰动步长;最后,根据步长和梯度进行对抗攻击,生成对抗样本用于模型训练。在CIFAR-10、CIFAR-100数据集上进行多种对抗攻击,相较于N-FGSM(Noise Fast Gradient Sign Method),所提方法在鲁棒准确率上取得了至少0.35个百分点的提升。实验结果表明,所提方法能避免Fast-AT中的CO问题,提高深度学习模型的鲁棒性。展开更多
文摘深度神经网络具有脆弱性,容易被精心设计的对抗样本攻击.梯度攻击方法在白盒模型上攻击成功率较高,但在黑盒模型上的迁移性较弱.基于Heavy-ball型动量和Nesterov型动量的梯度攻击方法由于在更新方向上考虑了历史梯度信息,提升了对抗样本的迁移性.为了进一步使用历史梯度信息,本文针对收敛性更好的Nesterov型动量方法,使用自适应步长策略代替目前广泛使用的固定步长,提出了一种方向和步长均使用历史梯度信息的迭代快速梯度方法(Nesterov and Adaptive-learning-rate based Iterative Fast Gradient Method,NAI-FGM).此外,本文还提出了一种线性变换不变性(Linear-transformation Invariant Method,LIM)的数据增强方法 .实验结果证实了NAI-FGM攻击方法和LIM数据增强策略相对于同类型方法均具有更高的黑盒攻击成功率.组合NAI-FGM方法和LIM策略生成对抗样本,在常规训练模型上的平均黑盒攻击成功率达到87.8%,在对抗训练模型上的平均黑盒攻击成功率达到57.5%,在防御模型上的平均黑盒攻击成功率达到67.2%,均超过现有最高水平.
文摘当前对抗训练(AT)及其变体被证明是防御对抗攻击的最有效方法,但生成对抗样本的过程需要庞大的计算资源,导致模型训练效率低、可行性不强;快速AT(Fast-AT)使用单步对抗攻击代替多步对抗攻击加速训练过程,但模型鲁棒性远低于多步AT方法且容易发生灾难性过拟合(CO)。针对这些问题,提出一种基于随机噪声和自适应步长的Fast-AT方法。首先,在生成对抗样本的每次迭代中,通过对原始输入图像添加随机噪声增强数据;其次,累积训练过程中每个对抗样本的梯度,并根据梯度信息自适应地调整对抗样本的扰动步长;最后,根据步长和梯度进行对抗攻击,生成对抗样本用于模型训练。在CIFAR-10、CIFAR-100数据集上进行多种对抗攻击,相较于N-FGSM(Noise Fast Gradient Sign Method),所提方法在鲁棒准确率上取得了至少0.35个百分点的提升。实验结果表明,所提方法能避免Fast-AT中的CO问题,提高深度学习模型的鲁棒性。