Xiaojun Jia, Xingxing Wei, Xiaochun Cao, Hassan Foroosh作者

图像压缩重建也能抵御对抗样本,这是一种新的防守策略

近日,微软亚洲研究院在清华举办了 CVPR 2019 论文分享会。20 余位论文作者在分享会现场进行了报告宣讲,30 多篇论文进行了海报展示与交流。在这篇文章中,我们将介绍其中一篇关于对抗样本的海报展示论文,该论文表示我们可以重构对抗样本而去除掉对抗信息,从而令它不会对分类模型产生危害。

这是微软亚洲研究院主办的第三届 CVPR 分享会,如果你错过了这场干货满满的分享会,点击「阅读原文」观看录播视频。微软亚研也将圆桌论坛整理了出来,读者可阅读:2019最值得期待的计算机视觉问题有哪些?

什么是对抗样本

对抗样本是指攻击者通过向真实样本中添加人眼不可见的噪声,导致深度学习模型发生预测错误的样本,如下图所示给定一张熊猫的图像,攻击方给图片添加了微小的噪声扰乱,尽管人眼是很难区分的,但是模型却以非常高的概率将其误分类为长臂猿。

上图为 Ian Goodfellow 在 14 年展示的对抗样本,这种对抗样本是通过一种名为 FGSM 的算法得出。

 一般而言,对抗攻击可以分为白盒攻击、黑盒攻击、定向攻击,以及通用攻击。其中白盒攻击是指攻击者能完全访问到被攻击模型,也就是说攻击者在知道模型架构和参数的情况下制造能欺骗它的对抗样本。而黑盒攻击则表明攻击者只能观察到被攻击模型的输入与输出,例如通过 API 攻击机器学习模型可以视为一个黑盒攻击,因为攻击者只能通过观察输入输出对来构造对抗样本

近年来,人们已经提出了许多抵御对抗样本的方法。这些方法大致可分为两类。第一类是增强神经网络本身的鲁棒性。对抗训练是其中的一种典型方法,它将对抗样本放入训练数据中以重新训练网络。标签平滑将 one-hot 标签转换为软目标也属于此类。

第二类是各种预处理方法。例如 Song 等人(arXiv:1710.10766)提出的 PixelDefend,它可以在将对抗图像输入分类器之前,将其转换为清晰的图像。类似地,也有研究者(arXiv:1712.02976)将察觉不到的扰动视为噪声,并设计了高阶表征引导去噪器(HGD)来消除这些噪声。HGD 在 NIPS 2017 对抗样本攻防竞赛中获得第一名。

一般而言,后一种方法更有效,因为它们不需要重新训练神经网络。然而,在训练降噪器时,HGD 仍然需要大量的对抗图像。因此,在对抗图像较少的情况下很难获得良好的 HGD。PixelDefend 的主要思想是模拟图像空间的分布,当空间太大时,模拟结果会很差。

新的防御方案

从另一个方向而言,图像压缩是一种低阶的图像变换任务。由于局部结构中相邻像素之间具有很强的相似性和相关性,因此图像压缩可以在保留显著信息的同时减少图像的冗余信息。在此基础上,这篇论文的研究者设计了 ComDefend,它利用图像压缩来消除对抗扰动或打破对抗扰动的结构。ComDefend 的基本思想如图 1 所示:

图 1:抵御对抗样本的端到端图像压缩模型主要思想。对抗图像和原始图像之间的扰动非常小,但是在图像分类模型的高层表示空间,扰动被放大。研究者使用 ComCNN 去除去除对抗性图像的冗余信息,再用 ResCNN 来重建清晰的图像,这样就抑制了对抗扰动的影响。

ComDefend 由两个 CNN 模块组成。第一个 CNN,称为压缩 CNN(ComCNN),用于将输入图像转换为压缩表示。具体是指将原始的 24 位像素压缩为 12 位。从输入图像提取的压缩表示可以保留足够的原始图像主体信息。第二个 CNN,称为重建 CNN(ResCNN),用于重建高质量的原始图像。ComCNN 和 ResCNN 最终组合成一个统一的端到端框架,并联合学习它们的权重

图 2:ComDefend 概览图。

ComCNN 用于保存原始图像的主要结构信息,RGB 三个通道的原始 24 位图被压缩为 12 位图(每个通道分配 4 位)。ResCNN 负责重建清晰的原始图像,它会在压缩表示上增加了高斯噪声,以提高重建质量,并进一步增强抵御对抗样本的能力。

我们可以发现 ComDefend 是针对清晰图像进行训练的,网络将学习清晰图像的分布,从而可以从对抗图像中重建清晰的图像。与 HGD 和 PixelDefend 相比,ComDefend 在训练阶段不需要对抗样本,因此降低了计算成本。另外,ComDefend 采用逐块的方式对图像处理,而不是直接对整幅图处理,这提高了处理效率。 

综上所述,这篇论文主要有以下贡献: 

  • 提出了 ComDefend,一种端到端的图像压缩模型来抵御对抗样本

  • 设计了一个统一的学习算法,以同时学习 ComDefend 中两个 CNN 模块的权重

  • 该方法极大地提高了模型对各种攻击方法的抵抗力,并击败了目前最先进的防御模型,包括 NIPS 2017 对抗样本攻防竞赛的冠军。

论文:ComDefend: An Efficient Image Compression Model to Defend Adversarial Examples

深度神经网络(DNN)在对抗样本中容易受到影响。即在清晰图像中添加难以察觉的扰动可能会欺骗训练好的深度神经网络。在本论文中,我们提出了一种端到端的图像压缩模型 ComDefend 来抵御对抗样本。该模型由压缩卷积神经网络(ComCNN)和重建卷积神经网络(ResCNN)组成。

ComCNN 用于维护原始图像的结构信息并去除对抗扰动,ResCNN 用于重建高质量的原始图像。换句话说,ComDefend 可以将对抗样本转换为「干净」的图像,然后将其输入训练好的分类器。我们的方法是一个预处理模块,并不会在整个过程中修改分类器的结构。因此,它可以与其他特定模型的抵御方法相结合,共同提高分类器的鲁棒性。在 MNIST、CIFAR10 和 ImageNet 上进行的一系列实验表明,我们所提出的方法优于目前最先进的抵御方法,并且一致有效地保护分类器免受对抗攻击。

端到端图像压缩模型

在以前的相关研究中,我们可以将难以察觉的扰动视为具有特定结构的噪声。换句话说,扰动不会影响原始图像的结构信息,这种难以察觉的扰动可以被认为是图像的冗余信息。从这个角度来看,我们可以利用图像压缩模型中的图像冗余信息,进而依赖这些信息的特征抵御对抗样本。 

为了消除不易察觉的扰动或打破扰动的特定结构,我们提出了端到端图像压缩模型。如图 2 所示,图像压缩模型包含压缩和重建过程。

在压缩过程中,ComCNN 提取图像结构信息,并删除图像的冗余信息。在重建过程中,ResCNN 重建输入图像而不产生对抗扰动。具体而言,ComCNN 将 24 位像素图像压缩为 12 位,即 12 位像素图像去除原始图像的冗余信息。随后,ResCNN 使用 12 位像素图像来重建原始图像。

在整个过程中,我们希望从原始安全图像中提取的 12 位像素图像尽可能与对抗样本相同。因此,我们可以将对抗样本转换为安全的图像。如图 3 所示,我们可以看到添加随机高斯噪声有助于提高压缩模型的性能。

图 3:ComDefend 中是否添加高斯噪声的结果比较。在每个子图中,顶部图像是原始图像,中间图像是压缩的 12 位图,底部是重建图像。(a)ComDefend 通过非二值化的 12 位图重建图像。(b) 在没有高斯噪声的情况下,ComDefend 通过二值化的 12 位图重建图像。(c) 利用高斯噪声,ComDefend 通过二值化 12 位图重建图像。

我们看到 (c) 中的重建质量与 (a) 中的重建质量相同,这意味着非二值化映射的增量信息实际上是噪声。因此,当在二值化映射上添加高斯噪声时,可以重建出更好的图像。 

实验结果和分析

图 4:ResNet-50 对对抗样本的分类准确度,这四种攻击会分别在测试、训练和测试阶段进行防御。虚线表示 ResNet-50 模型在没有任何防御下对对抗性图像的分类准确性。

Cifar-10 图像数据集的比较结果如表 4 所示。

如表 6 所示,该方法提高了 FGSM、DeepFool 和 CW 攻击方法的防御性能。

理论图像重建对抗样本图像压缩CVPRCVPR 2019
2
相关数据
微软亚洲研究院机构

微软亚洲研究院于1998年在北京成立,是微软公司在亚太地区设立的基础及应用研究机构,也是微软在美国本土以外规模最大的一个研究院。微软亚洲研究院从事自然用户界面,智能多媒体,大数据与知识挖掘,人工智能,云和边缘计算,计算机科学基础等领域的研究,致力于推动计算机科学前沿发展,着眼下一代革命性技术的研究,助力微软实现长远发展战略。通过与微软产品部门紧密合作,微软亚洲研究院将众多创新技术转移到了微软的核心产品中,如Office、Windows、Azure、Bing、Visual Studio、Xbox Kinect以及小冰、Cortana和Microsoft Translator等人工智能产品。

https://www.msra.cn/
微软机构

微软是美国一家跨国计算机科技公司,以研发、制造、授权和提供广泛的计算机软件服务为主。总部位于美国华盛顿州的雷德蒙德,最为著名和畅销的产品为Microsoft Windows操作系统和Microsoft Office办公室软件,以及Xbox的游戏业务。微软是美国《财富》杂志2015年评选的世界500强企业排行榜中的第95名。

https://www.microsoft.com/en-us/about
Ian Goodfellow人物

Ian Goodfellow 是机器学习领域备受关注的年轻学者之一,他在本科与硕士就读于斯坦福大学,师从吴恩达,博士阶段则跟随蒙特利尔大学的著名学者Yoshua Bengio研究机器学习。Goodfellow 最引人注目的成就是在2014年6月提出了生成对抗网络(GAN)。这一技术近年来已成为机器学习界最火热的讨论话题,特别是在最近几个月里,与GAN有关的论文不断涌现。GAN已成为众多学者的研究方向。

深度学习技术

深度学习(deep learning)是机器学习的分支,是一种试图使用包含复杂结构或由多重非线性变换构成的多个处理层对数据进行高层抽象的算法。 深度学习是机器学习中一种基于对数据进行表征学习的算法,至今已有数种深度学习框架,如卷积神经网络和深度置信网络和递归神经网络等已被应用在计算机视觉、语音识别、自然语言处理、音频识别与生物信息学等领域并获取了极好的效果。

图像压缩技术

图像压缩是数据压缩技术在数字图像上的应用,目的是减少图像数据中的冗余信息,从而用更加高效的格式存储和传输数据。图像压缩可以是有损数据压缩也可以是无损数据压缩。

权重技术

线性模型中特征的系数,或深度网络中的边。训练线性模型的目标是确定每个特征的理想权重。如果权重为 0,则相应的特征对模型来说没有任何贡献。

机器学习技术

机器学习是人工智能的一个分支,是一门多领域交叉学科,涉及概率论、统计学、逼近论、凸分析、计算复杂性理论等多门学科。机器学习理论主要是设计和分析一些让计算机可以自动“学习”的算法。因为学习算法中涉及了大量的统计学理论,机器学习与推断统计学联系尤为密切,也被称为统计学习理论。算法设计方面,机器学习理论关注可以实现的,行之有效的学习算法。

二值化技术

二值化是将像素图像转换为二进制图像的过程。

重构技术

代码重构(英语:Code refactoring)指对软件代码做任何更动以增加可读性或者简化结构而不影响输出结果。 软件重构需要借助工具完成,重构工具能够修改代码同时修改所有引用该代码的地方。在极限编程的方法学中,重构需要单元测试来支持。

参数技术

在数学和统计学裡,参数(英语:parameter)是使用通用变量来建立函数和变量之间关系(当这种关系很难用方程来阐述时)的一个数量。

计算机视觉技术

计算机视觉(CV)是指机器感知环境的能力。这一技术类别中的经典任务有图像形成、图像处理、图像提取和图像的三维推理。目标识别和面部识别也是很重要的研究领域。

神经网络技术

(人工)神经网络是一种起源于 20 世纪 50 年代的监督式机器学习模型,那时候研究者构想了「感知器(perceptron)」的想法。这一领域的研究者通常被称为「联结主义者(Connectionist)」,因为这种模型模拟了人脑的功能。神经网络模型通常是通过反向传播算法应用梯度下降训练的。目前神经网络有两大主要类型,它们都是前馈神经网络:卷积神经网络(CNN)和循环神经网络(RNN),其中 RNN 又包含长短期记忆(LSTM)、门控循环单元(GRU)等等。深度学习是一种主要应用于神经网络帮助其取得更好结果的技术。尽管神经网络主要用于监督学习,但也有一些为无监督学习设计的变体,比如自动编码器和生成对抗网络(GAN)。

图像提取技术

图像提取包括图像的特征检测和特征提取过程。 特征检测是计算机视觉和图像处理中的一个概念。它指的是使用计算机提取图像信息,决定每个图像的点是否属于一个图像特征。特征检测的结果是把图像上的点分为不同的子集,这些子集往往属于孤立的点、连续的曲线或者连续的区域。 特征被检测后它可以从图像中被提取出来。这个过程可能需要许多图像处理的计算机。其结果被称为特征描述或者特征向量。 低层次的特征提取方法包括:边缘检测、角检测、区域检测、脊检测等,还有曲度检测以及运动检测。 高层次的特征提取方法包括:1.固定形状匹配方法如阈值、模板匹配和霍夫变换等;2.灵活变形分析方法。 进一步特征提取与降维有关,常用的降维技术有主成分分析法、独立成分分析法、等距特征映射等。

卷积神经网络技术

卷积神经网路(Convolutional Neural Network, CNN)是一种前馈神经网络,它的人工神经元可以响应一部分覆盖范围内的周围单元,对于大型图像处理有出色表现。卷积神经网路由一个或多个卷积层和顶端的全连通层(对应经典的神经网路)组成,同时也包括关联权重和池化层(pooling layer)。这一结构使得卷积神经网路能够利用输入数据的二维结构。与其他深度学习结构相比,卷积神经网路在图像和语音识别方面能够给出更好的结果。这一模型也可以使用反向传播算法进行训练。相比较其他深度、前馈神经网路,卷积神经网路需要考量的参数更少,使之成为一种颇具吸引力的深度学习结构。 卷积网络是一种专门用于处理具有已知的、网格状拓扑的数据的神经网络。例如时间序列数据,它可以被认为是以一定时间间隔采样的一维网格,又如图像数据,其可以被认为是二维像素网格。

映射技术

映射指的是具有某种特殊结构的函数,或泛指类函数思想的范畴论中的态射。 逻辑和图论中也有一些不太常规的用法。其数学定义为:两个非空集合A与B间存在着对应关系f,而且对于A中的每一个元素x,B中总有有唯一的一个元素y与它对应,就这种对应为从A到B的映射,记作f:A→B。其中,y称为元素x在映射f下的象,记作:y=f(x)。x称为y关于映射f的原象*。*集合A中所有元素的象的集合称为映射f的值域,记作f(A)。同样的,在机器学习中,映射就是输入与输出之间的对应关系。

对抗训练技术

对抗训练涉及两个模型的联合训练:一个模型是生成器,学习生成假样本,目标是骗过另一个模型;这另一个模型是判别器,通过对比真实数据学习判别生成器生成样本的真伪,目标是不要被骗。一般而言,两者的目标函数是相反的。

图像处理技术

图像处理是指对图像进行分析、加工和处理,使其满足视觉、心理或其他要求的技术。 图像处理是信号处理在图像领域上的一个应用。 目前大多数的图像均是以数字形式存储,因而图像处理很多情况下指数字图像处理。

对抗样本技术

对抗样本是一类被设计来混淆机器学习器的样本,它们看上去与真实样本的几乎相同(无法用肉眼分辨),但其中噪声的加入却会导致机器学习模型做出错误的分类判断。

图像分类技术

图像分类,根据各自在图像信息中所反映的不同特征,把不同类别的目标区分开来的图像处理方法。它利用计算机对图像进行定量分析,把图像或图像中的每个像元或区域划归为若干个类别中的某一种,以代替人的视觉判读。

深度神经网络技术

深度神经网络(DNN)是深度学习的一种框架,它是一种具备至少一个隐层的神经网络。与浅层神经网络类似,深度神经网络也能够为复杂非线性系统提供建模,但多出的层次为模型提供了更高的抽象层次,因而提高了模型的能力。

推荐文章
暂无评论
暂无评论~