近期必读的六篇AAAI 2021【对抗攻击（Adversarial Attack）】相关论文和代码

2021 年 2 月 17 日 专知

【导读】人工智能顶级会议AAAI2021接收结果已经公布，本次AAAI 2021一共收到9034篇论文提交，其中有效审稿的只有7911篇，最终录取的数量为1692篇，接收率为21.4%，相比去年的20.6%高0.8%，竞争越来越激烈。近期，所有paper list 放出，小编发现基于对抗攻击（Adversarial Attack）相关的接受paper不少，这几年比如对抗攻击、基于图数据的对抗攻击、NLP、CV上的攻击防御等等一些列前沿的方法和应用受到了很多人的关注，也是当前比较火的topic。

为此，这期小编为大家奉上AAAI 2021必读的六篇对抗攻击相关论文——复合对抗攻击、音频对抗攻击、互信息正则化、序列攻击、不确定注意力图神经网络、不确定性匹配图神经网络

AAAI 2021 Accepted Papers :

https://aaai.org/Conferences/AAAI-21/wp-content/uploads/2020/12/AAAI-21_Accepted-Paper-List.Main_.Technical.Track_.pdf

AAAI2021QA、 AAAI2021CI 、AAAI2021CL、 ICLR2020CI 、ICML2020CI

1. Composite Adversarial Attacks

作者：Xiaofeng Mao, Yuefeng Chen, Shuhui Wang, Hang Su, Yuan He, Hui Xue

摘要：对抗攻击是一种欺骗机器学习（ML）模型的技术，它提供了一种评估对抗鲁棒性的方法。在实践中，攻击算法是通过人类专家人工选择和调整，以破坏ML系统的算法。但是，手动选择攻击者往往不是最佳选择，从而导致对模型安全性的错误评估。在本文中，我们提出了一种新的程序，称为“复合对抗攻击”（CAA），用于从32名基础攻击者的候选库中自动搜索攻击算法及其超参数的最佳组合。我们设计一个搜索空间，其中将攻击策略表示为攻击序列，即将前一个攻击者的输出用作后一个攻击者的初始化输入。CAA采用多目标NSGA-II遗传算法寻找最强大的攻击策略，且复杂度最低。实验结果表明，CAA在11种多样的防御系统中击败了10名顶级攻击者，耗时更少（比AutoAttack快6倍），并且在l_∞、l_2和无限制对抗攻击上实现了最新的技术水平。

网址：

https://arxiv.org/abs/2012.05434

2. Enabling Fast and Universal Audio Adversarial Attack Using Generative Model

作者：Yi Xie, Zhuohang Li, Cong Shi, Jian Liu, Yingying Chen, Bo Yuan

摘要：近年来，基于深度神经网络（DNN）的音频系统容易受到对抗性攻击，这一点已引起越来越多的关注。但是，现有的音频对抗攻击使攻击者可以拥有整个用户的音频输入，并给予足够的时间预算以产生对抗性干扰。但是，这些理想的假设使得现有的音频对抗攻击在实践中几乎不可能及时发布（例如，与用户的流输入一起播放不明显的对抗扰动）。为了克服这些限制，在本文中我们提出了快速音频对抗扰动发生器（FAPG），它使用生成模型在单个前向通过中为音频输入产生对抗性扰动，从而大大提高了扰动产生速度。在FAPG的基础上，我们进一步提出了通用音频对抗性扰动发生器（UAPG），该方案旨在制作通用对抗性扰动，可将其施加到任意良性音频输入上，从而造成误分类。在基于DNN的音频系统上的大量实验表明，与现有的音频对抗攻击方法相比，我们提出的FAPG可以达到高达214倍的加速率，并且具有很高的成功率。同样，我们提出的UAPG会产生通用的对抗性扰动，与最先进的解决方案相比，可以实现更好的攻击性能。

网址：

https://arxiv.org/abs/2004.12261

3. Improving Robustness to Model Inversion Attacks via Mutual Information Regularization

作者：Tianhao Wang, Yuheng Zhang, Ruoxi Jia

摘要：本文研究了针对模型反转（model inversion, MI）攻击的防御机制-这是一种隐私攻击的类型，旨在通过访问目标机器学习模型来推断有关训练数据分布的信息。现有的防御机制依赖于特定于模型的试探法或噪声注入。现有的方法虽然能够减轻攻击，但会严重影响模型性能。先前的方法仍然存在一个问题，即如何设计一种适用于各种模型并实现更好的效用（隐私权衡）的防御机制。在本文中，我们提出了基于互信息正则化的MI攻击的防御（MID）方法。关键思想是限制有关预测中包含的模型输入信息，从而限制对手从模型预测中推断私人训练属性的能力。我们的防御原则与模型无关，对于线性回归，决策树和神经网络，我们向正则化器提供了易于处理的近似值，如果未附加任何防御措施，则先前的工作已成功地对它们进行了攻击。我们通过设计严格的基于游戏的定义并量化相关的信息泄漏，对MI攻击进行了正式的研究。我们的理论分析揭示了DP在防御MI攻击方面的效率低下，在先前的几项工作中已通过经验观察到这一点。我们的实验表明，MID可以为多种MI攻击，目标模型和数据集提供最先进的性能。

网址：

https://arxiv.org/abs/2009.05241

4. Sequential Attacks on Kalman Filter-based Forward Collision Warning Systems

作者：Yuzhe Ma, Jon Sharp, Ruizhe Wang, Earlence Fernandes, Xiaojin Zhu

摘要：卡尔曼滤波器（KF）广泛用于各个领域，以执行序列学习或变量估计。在自动驾驶汽车中，KF构成了许多高级驾驶员辅助系统（ADAS）的核心组件，例如前撞预警（FCW）。它根据传感器的测量结果跟踪相关交通目标的状态（距离，速度等）。KF的跟踪输出通常被馈送到下游逻辑中以产生警报，然后驾驶员将使用它们在接近碰撞的情况下做出驾驶决策。在本文中，我们研究对KF的对抗性攻击，将其作为更复杂的人机混合前向碰撞预警系统的一部分。我们的攻击目标是使KF输出不正确的状态估计值，从而导致错误或延迟的警报，从而对人的制动决策产生负面影响。我们通过依次处理送入KF的测量值来完成此操作，并提出了一种新颖的模型预测控制（MPC）方法来计算最佳操纵值。通过在模拟驾驶环境中进行的实验，我们表明攻击者能够通过在预期目标时间之前对测量进行有计划的操纵来成功更改FCW警报信号。这些结果表明，我们的袭击会误导分心的驾驶员并导致车辆碰撞。

网址：

https://arxiv.org/abs/2012.08704

5. Uncertainty-aware Attention Graph Neural Network for Defending Adversarial Attacks

作者：Boyuan Feng, Yuke Wang, Zheng Wang, Yufei Ding

摘要：随着基于图的学习的日益普及，图神经网络（GNN）成为图数据分析的必要工具。但是，与经过广泛研究和详尽测试的传统CNN不同，人们仍然担心GNN在关键环境（例如金融服务）下的稳健性。主要原因是现有的GNN通常在预测中充当黑匣子，并且不会为预测提供不确定性。另一方面，贝叶斯深度学习在CNN上的最新进展证明了其在量化和解释这种不确定性以加强CNN模型方面的成功。基于这些观察，我们提出了UAG，这是第一个通过识别和利用GNN的层次不确定性来防御对GNN的对抗攻击的系统解决方案。UAG开发了一种贝叶斯不确定性技术（BUT）以明确捕获GNN中的不确定性，并进一步采用不确定性注意技术（UAT）来防御对GNN的对抗性攻击。大量的实验表明，我们提出的防御方法明显优于最新的解决方案。

网址：

https://arxiv.org/abs/2009.10235

6. Uncertainty-Matching Graph Neural Networks to Defend Against Poisoning Attacks

作者：Uday Shankar Shanthamallu, Jayaraman J. Thiagarajan, Andreas Spanias

摘要：图神经网络（GNN）是将神经网络概括为图结构化数据的一种方法，通常使用图实体之间的信息传递来实现。虽然GNN可有效用于节点分类，链接预测和图分类，但它们容易受到对抗性攻击，即结构的微小扰动可能会导致性能下降。在这项工作中，我们提出不确定性匹配GNN（UM-GNN），其目的是通过利用信息传递框架中的认知不确定性来提高GNN模型的鲁棒性，尤其是针对图结构的中毒攻击。更具体地说，我们提出建立一个替代预测变量，该预测变量不直接访问图结构，而是通过一种新颖的不确定性匹配策略从标准GNN中系统提取可靠的知识。有趣的是，这种解耦使UM-GNN在设计上不受规避攻击，并显着提高了抵抗中毒攻击的鲁棒性。通过使用具有标准基准以及一系列全局和目标攻击的实证研究，我们证明了与现有基准（包括最新的强大GCN）相比，UM-GNN的有效性。