面向多样对抗攻击的知识增强机器学习流水线

尽管深度神经网络（DNNs）取得了巨大成功，近期研究表明它们易受对抗样本攻击，后者通过添加微小对抗扰动来误导 DNNs。已有若干防御方法被提出以抵御此类攻击，但其中许多已被自适应攻破。本工作中，我们旨在从另一视角利用领域知识增强 ML 鲁棒性：提出知识增强机器学习流水线（KEMLP），通过一阶逻辑规则将领域知识（即不同预测间的逻辑关系）整合进概率图模型。具体而言，我们基于主 DNN 模型与目标任务的逻辑关系集成多种弱辅助模型来构建 KEMLP。理论上，我们给出了收敛性结果并证明在温和条件下 KEMLP 的预测比主 DNN 模型更具鲁棒性。在实验上，我们以道路标志识别为例，利用道路标志与其形状和内容间的关系作为领域知识。我们表明，相较于对抗训练及其他基线，KEMLP 在白盒与黑盒设定下对物理攻击、$\mathcal{L}_p$ 有界攻击、未知攻击及自然损坏均取得更高鲁棒性，同时保持较高的干净准确率。