PatchCleanser：针对任意图像分类器的抗对抗补丁可认证鲁棒防御
计算机视觉与模式识别
2022-04-12 v2 密码学与安全
摘要
针对图像分类模型的对抗补丁攻击旨在受限图像区域（即补丁）内注入对抗性构造像素以诱导模型误分类。该攻击可通过打印补丁并贴附至受害物体而在物理世界中实现；因此它对计算机视觉系统构成真实威胁。为应对此威胁，我们设计 PatchCleanser 作为抗对抗补丁的可认证鲁棒防御。在 PatchCleanser 中，我们对输入图像执行两轮像素掩码以中和对抗补丁的影响。该图像空间操作使 PatchCleanser 兼容任意最先进图像分类器以保持高准确率。此外，我们可证明对于威胁模型内任意自适应白盒攻击者，PatchCleanser 在某些图像上始终预测正确类标签，实现可认证鲁棒性。我们在 ImageNet、Imagenette、CIFAR-10、CIFAR-100、SVHN 和 Flowers-102 数据集上广泛评估 PatchCleanser，表明我们的防御取得与最先进分类模型相近的干净准确率，并显著提升了相比先前工作的可认证鲁棒性。值得注意的是，在 1000 类 ImageNet 数据集上，PatchCleanser 对图像任意位置 2% 像素方形补丁取得 83.9% top-1 干净准确率与 62.1% top-1 可认证鲁棒准确率。
引用
@article{arxiv.2108.09135,
title = {PatchCleanser: Certifiably Robust Defense against Adversarial Patches for Any Image Classifier},
author = {Chong Xiang and Saeed Mahloujifar and Prateek Mittal},
journal= {arXiv preprint arXiv:2108.09135},
year = {2022}
}
备注
USENIX Security Symposium 2022; extended technical report