基于GAN的對抗樣本生成研究

孫曦音 封化民, 劉 飚 張健毅

1(西安電子科技大學(xué) 陜西 西安 710071)2(北京電子科技學(xué)院 北京 100070)

0 引 言

隨著人工智能技術(shù)的快速發(fā)展，機(jī)器學(xué)習(xí)、深度學(xué)習(xí)[1]的算法被應(yīng)用到許多復(fù)雜領(lǐng)域，如圖像識別、自然語言處理、人臉識別等，在這些領(lǐng)域機(jī)器已經(jīng)達(dá)到了和人類相似的準(zhǔn)確性。但是有研究發(fā)現(xiàn)，深度學(xué)習(xí)很容易受到微小輸入擾動的干擾，這些干擾人類無法察覺卻會引起機(jī)器的錯誤，我們將這個引起錯誤的數(shù)據(jù)叫作對抗樣本[2]，研究對抗樣本對于提高深度學(xué)習(xí)算法安全性有著重要意義。

目前對抗樣本生成的方法主要分為兩類：基于優(yōu)化的方法[2]和快速梯度符號標(biāo)記法[3]等。本文提出一種基于生成對抗網(wǎng)絡(luò)的方法，通過生成對抗網(wǎng)絡(luò)的生成器進(jìn)行對抗樣本生成。首先利用生成對抗網(wǎng)絡(luò)中的生成器生成對抗樣本數(shù)據(jù)，然后用模型中的判別器約束對抗樣本的分布和原數(shù)據(jù)相同，保證對抗樣本的逼真性；同時，使用類別概率向量重排序函數(shù)約束對抗樣本的類別為指定攻擊類別，保證對抗樣本在被攻擊模型上的有效性。最后，我們對指定網(wǎng)絡(luò)進(jìn)行對抗攻擊，相較于已有的對抗攻擊方法得到了兩點(diǎn)提升，一方面，提高了生成樣本的質(zhì)量，減少了紋路干擾，邊緣模糊等問題；另一方面，提高了攻擊的成功率，即使得生成的對抗樣本更好地欺騙過分類模型，平均成功率可以達(dá)到80%。

1 相關(guān)研究

隨著人工智能的發(fā)展，深度學(xué)習(xí)在許多領(lǐng)域得到了很好的應(yīng)用，如人臉識別、目標(biāo)檢測、自然語言處理等等。而Szegedy[2]在2013年提出了一個現(xiàn)象，在數(shù)據(jù)中加入輕微擾動得到的新樣本，會使得機(jī)器學(xué)習(xí)模型以高置信度得到錯誤的輸出，這個加入擾動的新樣本就是對抗樣本。而后又有學(xué)者研究表明機(jī)器學(xué)習(xí)模型在對這些對抗樣本處理時會表現(xiàn)出脆弱性，說明對抗樣本成為了訓(xùn)練算法的盲點(diǎn)。

而后Szegedy研究發(fā)現(xiàn)通過對抗訓(xùn)練可以增強(qiáng)深度神經(jīng)網(wǎng)絡(luò)的魯棒性來抵抗對抗樣本的攻擊，Goodfellow等隨之提出了一種有效的方法計算對抗擾動，叫做快速梯度標(biāo)記法[3](Fast Gradient Sign Method，F(xiàn)GSM)。Kurakin等[4]研究證實(shí)FGSM在大型圖片數(shù)據(jù)集ImageNet[17]中，按照TOP1統(tǒng)計生成對抗樣本的比例在63%到69%之間。Carlini和Wagner提出了一種稱為蒸餾(distillation)[5]的方法，可以將已有的白盒攻擊方法遷移到黑盒攻擊問題中。

對抗攻擊的過程主要分為兩個研究方向，第一種是指定目標(biāo)類型，另一種是非指定目標(biāo)類型。指定目標(biāo)類型指的是對抗樣本需要被分類為預(yù)先指定的類型，若沒有被分類成功即為攻擊成功。非指定目標(biāo)類型相反，只要對抗樣本被分類為非原類型即為攻擊成功。

目前已提出的幾種不同的構(gòu)建對抗樣本的方法來攻擊深度神經(jīng)網(wǎng)絡(luò)，包括直接圖像優(yōu)化法、直接梯度法和快速梯度符號法。但是使用梯度法產(chǎn)生的對抗樣本進(jìn)行對抗訓(xùn)練存在退化極小值的問題，并且會明顯降低模型對干凈樣本的分類準(zhǔn)確率。在此基礎(chǔ)上Shumeet Baluja等[6]在2017年提出了一種對抗變換網(wǎng)絡(luò)(Adversarial Transformation Networks，ATN)的方法來生成對抗樣本，可以有效地訓(xùn)練前饋神經(jīng)網(wǎng)絡(luò)以自我監(jiān)督的方式產(chǎn)生針對目標(biāo)網(wǎng)絡(luò)的對抗樣本。在給定原始輸入的情況下最小化修改分類器的輸出，同時約束新的分類以匹配攻擊目標(biāo)類別。

2 生成對抗網(wǎng)絡(luò)與對抗樣本生成

2.1 生成對抗網(wǎng)絡(luò)

Goodfellow等在2014年提出生成對抗網(wǎng)絡(luò)[7-8](Generative Adversarial Networks，GAN)，這種網(wǎng)絡(luò)模型是一種無監(jiān)督學(xué)習(xí)方法，由兩部分組成，一部分是生成器，另一部分是判別器。整體過程如圖1所示。

圖1 生成對抗網(wǎng)絡(luò)

生成對抗網(wǎng)絡(luò)(GAN)解決了一個問題：給定一批樣本，訓(xùn)練一個系統(tǒng)能夠生成類似的新樣本。GAN的核心思想是博弈論中的納什均衡，判別器D的目的是判斷數(shù)據(jù)來自生成器還是訓(xùn)練集，生成器的目的是學(xué)習(xí)真實(shí)數(shù)據(jù)的分布，使得生成的數(shù)據(jù)更接近真實(shí)數(shù)據(jù)，兩者不斷學(xué)習(xí)優(yōu)化最后得到納什平衡點(diǎn)。對于生成器和判別器可以使用任意可微分函數(shù)，生成器使得G(Z)在判別器上的分布D(G(Z))更近似于真實(shí)數(shù)據(jù)在判別器上的分布D(X)，直到判別器無法分別真假數(shù)據(jù)，就得到了一個以假亂真的數(shù)據(jù)生成器。最終的優(yōu)化目標(biāo)表示為：

Ez～pZ[log(1-D(G(z)))]

(1)

式中：D(x)表示真實(shí)數(shù)據(jù)的概率分布,G(z)表示輸入噪聲z產(chǎn)生的生成數(shù)據(jù)的概率分布，通過交替訓(xùn)練生成器和判別器，迭代優(yōu)化。一般采用先固定G，優(yōu)化D，使D判別準(zhǔn)確率最大化，再固定D，優(yōu)化G，使D判別準(zhǔn)確率最小化,直到達(dá)到預(yù)定目標(biāo)。

GAN的模型從提出到現(xiàn)在發(fā)展飛速，已有一系列衍生模型，并應(yīng)用在如圖像生成、人臉識別、超分辨等方面。ConditionGAN[9]可以按照意愿生成圖片，將文字內(nèi)容轉(zhuǎn)為圖片；PatchGAN[10]可以為圖片進(jìn)行上色；CycleGAN[11]用來生成相同風(fēng)格的圖片等。

DCGAN[12](Deep Convolutional Generative Adversarial Networks)是在原始GAN的基礎(chǔ)上結(jié)合了卷積神經(jīng)網(wǎng)絡(luò)的一種衍生模型，主要貢獻(xiàn)是將監(jiān)督學(xué)習(xí)中的卷積模型和非監(jiān)督學(xué)習(xí)的GAN模型相結(jié)合，使得樣本生成質(zhì)量得到提高，也提高了收斂速度，已經(jīng)有研究證明了其在圖像識別分類的有效性。

2.2 常見對抗樣本生成方法

2.2.1對抗樣本

機(jī)器學(xué)習(xí)算法在處理對抗樣本時會產(chǎn)生錯誤，如在分類問題中，將對抗樣本輸入到分類模型中，會使得分類模型錯誤分類，對抗樣本即是那些有別于正常樣本的負(fù)樣本，會使得模型輸出錯誤的結(jié)果。

對抗樣本產(chǎn)生的方法主要有基于優(yōu)化的方法和快速梯度標(biāo)記法。

基于優(yōu)化[2]的方法是Szegedy等提出的一種針對深度神經(jīng)網(wǎng)絡(luò)生成對抗樣本的方法，該方法將其轉(zhuǎn)化為如下的優(yōu)化問題：

(2)

式中：I是來自Ci類的原始輸入，ΔI是對抗噪聲，Net表示深度學(xué)習(xí)分類算法，Cd是對抗攻擊的目標(biāo)類別，并且Cd≠Ci。一旦找到滿足約束的對抗噪聲ΔI，即可構(gòu)造出對抗樣本I+ΔI。這種方法生成對抗樣本的效率較低、資源消耗較多，并且在某些類別上無法收斂。

快速梯度標(biāo)記法[3](FGSM)是一種能更快生成對抗樣本的方法，其計算對抗噪聲公式如下：

ΔI=ε·sign(▽IJ(W,I,Cd))

(3)

式中：J(W,I,Cd)是用來訓(xùn)練深度神經(jīng)網(wǎng)絡(luò)的代價函數(shù)，▽IJ(W,I,Cd)是代價函數(shù)對輸入I的梯度，W是訓(xùn)練完畢的網(wǎng)絡(luò)參數(shù)，ε是控制噪聲強(qiáng)度的常量，sign是符號函數(shù)?？焖偬荻葮?biāo)記法通過計算目標(biāo)類別對輸入圖像求梯度，再對梯度求符號函數(shù)，最后將求得的結(jié)果作為對抗噪聲加到原始圖像上獲得對抗樣本。這種方法的優(yōu)點(diǎn)是速度快、生成的對抗樣本可遷移性強(qiáng)，而缺點(diǎn)是添加的噪聲容易被去除，如使用中值濾波等方法，安全性不佳。

2.2.2對抗變換網(wǎng)絡(luò)

現(xiàn)有的對抗樣本生成方法一般是針對樣本自身做優(yōu)化，或者基于模型的梯度對樣本添加擾動，Buluja&Fischer[5]試圖訓(xùn)練一個對抗變換網(wǎng)絡(luò)(ATN)生成對抗樣本，使得生成的樣本有較大概率被深度神經(jīng)網(wǎng)絡(luò)錯分，且添加的擾動最小。ATN可以實(shí)現(xiàn)指定預(yù)測類別的攻擊和不指定預(yù)測類別的攻擊。

另外，這種方法還可以使用神經(jīng)網(wǎng)絡(luò)將擾動建模為加性噪聲，此時網(wǎng)絡(luò)的輸出和輸入的關(guān)系是：

I′=tanh(I+ATN(I))

(4)

式中:I是輸入的原始數(shù)據(jù)，I′是輸出的對抗樣本，tanh是反正切函數(shù)。

ATN訓(xùn)練時需保證對抗樣本的類別與目標(biāo)類別一致，且對抗樣本與原始圖像足夠相似，它的優(yōu)化目標(biāo)定義如下：

(5)

式中：f是被攻擊的模型(輸出為預(yù)測類別的概率分布)，LX是對抗樣本和原始圖像的相似度量，LY是在指定對抗攻擊目標(biāo)類別d的前提下，對抗樣本的預(yù)測值與指定類別的差距度量，rd是目標(biāo)類別d的概率分布。這種方法的優(yōu)點(diǎn)是推斷速度快、攻擊成功率高，缺點(diǎn)是生成的對抗樣本上殘留有目標(biāo)類別的典型模式，如植物的紋理、動物的眼睛和皮毛等，并且生成的對抗樣本可遷移性較差。

2.3 基于GAN的對抗樣本生成方法

ATN生成模型得到的對抗樣本雖然能夠騙過指定的機(jī)器學(xué)習(xí)模型，但是生成的樣本相對原圖像的擾動較大，且存在圖像邊緣模糊的問題。

生成對抗網(wǎng)絡(luò)GAN通過訓(xùn)練單獨(dú)的判別器，根據(jù)數(shù)據(jù)的分布來分辨真實(shí)樣本和生成樣本，相對于L2損失函數(shù)，它能更加有效地度量數(shù)據(jù)分布的差異。GAN生成的樣本具有邊緣銳利、更富有多樣性的優(yōu)點(diǎn)，在半監(jiān)督學(xué)習(xí)中得到了廣泛的應(yīng)用。但是GAN也存在訓(xùn)練不穩(wěn)定，生成的樣本容易變形的問題。Zhu等[11]的研究表明，L2損失函數(shù)可以有效改善GAN訓(xùn)練過程中由于判別器的梯度不準(zhǔn)確，造成生成器生成的樣本變形失真的問題。所以我們定義了3種約束函數(shù)(對抗約束、像素級約束和類別約束)保證GAN既能生成目標(biāo)類別的對抗樣本，又不會發(fā)生明顯的失真，同時，這3種約束僅使用了原始圖像以及深度神經(jīng)網(wǎng)絡(luò)輸出的樣本所屬的類別概率分布，因此本方法可以在深度神經(jīng)網(wǎng)絡(luò)內(nèi)部結(jié)構(gòu)未知的前提下對其實(shí)行對抗攻擊。

(1) 對抗約束 對抗樣本生成的前提是對原始圖像的擾動不能過大，因此如何衡量對抗樣本與原始圖像的相似性，成為一個至關(guān)重要的問題。我們利用生成對抗網(wǎng)絡(luò)GAN中的判別器輸出作為對抗樣本與原始圖像分布差異的測度，并以此建立對抗約束保證生成器生成的對抗樣本與原始圖像的分布一致，對抗約束的具體定義如下：

E(z,x)～(pz,px)[log(1-D(G(z|x)))]

(6)

式中:θG表示生成器G的網(wǎng)絡(luò)參數(shù)，θD表示判別器D的網(wǎng)絡(luò)參數(shù)，px和pz分別表示原始圖像x和隨機(jī)噪聲z的分布，G(z|x)表示以原始圖像x為條件，生成器G通過隨機(jī)噪聲z生成的對抗樣本。

對抗約束是生成器和判別器之間零和博弈的體現(xiàn)：如圖2所示，對抗樣本G(z|x)由原始圖像x經(jīng)過生成器G的編碼和解碼后輸出，并與原始圖像一起訓(xùn)練判別器D，判別器D輸出樣本為真的概率，我們以此作為代價，反向傳播更新生成器G的網(wǎng)絡(luò)參數(shù)，直到判別器D無法分辨真假，停止更新，就訓(xùn)練出了一個能生成逼真對抗樣本的生成器G。

圖2 基于GAN的對抗樣本生成

(2) 像素級約束 對抗約束使得對抗樣本和真實(shí)圖像在分布上一致，但僅在生成器G和判別器D足夠理想的情況下，兩者才能達(dá)到穩(wěn)定的博弈，為了保證訓(xùn)練過程中圖像能保持基本的質(zhì)量，我們同時使用了像素級約束指導(dǎo)生成器G的訓(xùn)練：

(7)

我們不希望生成器G對像素級約束過于敏感，因此我們使用L1范數(shù)表示生成的對抗樣本和原始圖像的像素級差異。

(3) 類別約束 對抗樣本生成的另一要求是對抗樣本的類別與目標(biāo)類別一致。然而如果對抗樣本在深度神經(jīng)網(wǎng)絡(luò)上的輸出偏離原始圖像的真實(shí)類別過大，會造成對抗樣本自身發(fā)生嚴(yán)重失真，從而整個訓(xùn)練過程無法收斂。因此我們希望對抗樣本在深度神經(jīng)網(wǎng)絡(luò)上的輸出表現(xiàn)為：在目標(biāo)類別上的概率最大，而在真實(shí)類別上的概率次之。因此我們定義類別約束如下：

(8)

式中:CE是交叉熵函數(shù)，f是待攻擊的深度神經(jīng)網(wǎng)絡(luò)，它的輸出是樣本的類別概率向量，hd是對原始圖像和指定類別d的類別概率向量的重排序函數(shù)，我們將在2.4節(jié)詳細(xì)介紹。

綜合上述3種約束，我們可以得到生成對抗網(wǎng)絡(luò)中判別器D和生成器G的損失函數(shù)：

E(z,x)～(pz,px)[log(1-D(G(z|x)))]

(9)

(10)

式中：α、β、γ為平衡3種約束的參數(shù)，且α+β+γ=1。

判別器D和生成器G均采用深度神經(jīng)網(wǎng)絡(luò)模型，為了保證梯度更新的穩(wěn)定性，我們使用了DCGAN中的判別器網(wǎng)絡(luò)設(shè)計方法，移除了所有的池化層，并使用Leaky ReLU作為激活函數(shù)。生成器G采用編碼器-解碼器的結(jié)構(gòu)，為了降低棋盤格效應(yīng)，我們的上采樣部分使用了Pixelshuffle[13]技術(shù)，并且將Batch Normalization[14]歸一化方法替換為Instance Normalization[15]，明顯改善了生成器G輸出的對抗樣本的圖像質(zhì)量。

生成對抗網(wǎng)絡(luò)的訓(xùn)練采用判別器D和生成器G交替訓(xùn)練的方式進(jìn)行。如圖3所示，我們將一批原始圖像分為兩部分，一部分用來更新判別器D，另一部分輸入生成器G得到生成的對抗樣本，再利用這一部分對抗樣本更新判別器D和生成器G，重復(fù)上述過程直到完成指定次數(shù)的訓(xùn)練。

圖3 訓(xùn)練流程圖

2.4 類別概率向量重排序函數(shù)

對抗樣本生成要求輸出樣本為指定類別，且對原始圖像的擾動不宜過大。然而同真實(shí)類別差異較大的指定類別會對樣本的生成造成很大困難，因此本節(jié)我們提出類別概率向量重排序函數(shù)。假設(shè)深度神經(jīng)網(wǎng)絡(luò)預(yù)測的類別共有N類，原始圖像x的類別概率向量為Vx=(c1,c2,…,cN)，c1>c2>…>cN且c1+c2+…+cN=1，其中c1為原始圖像x的真實(shí)類別的概率。顯然，指定類別d的概率cd∈{c2,c3，…,cN}(不考慮指定類別d與真實(shí)類別相同的情況)。對于原始圖像x和指定類別d的類別概率向量重排序函數(shù)h，我們定義如下：

hd(Vx)=softmax(Vd)

(11)

式中：Vd=(cd,c1,c2,…,cN)，cd=1，經(jīng)過softmax函數(shù)的放大，我們最大程度上保留了原有的概率分布Vx，并且指定類別d的概率值最大。使用類別概率向量重排序算法可以有效加快生成對抗網(wǎng)絡(luò)訓(xùn)練過程的收斂，提高攻擊的成功率。

3 實(shí)驗(yàn)結(jié)果及分析

3.1 實(shí)驗(yàn)環(huán)境和數(shù)據(jù)集

實(shí)驗(yàn)平臺為PyTorch深度學(xué)習(xí)平臺[16]，工作站為NVIDIA GeForce GTX 980 Ti單卡的環(huán)境。為驗(yàn)證本文提出的模型在生成對抗樣本問題上的可行性，我們使用ILSVRC 2012[18]作為訓(xùn)練集，測試集為NIPS 2017 Competition on Adversarial Attacks and Defenses提供的1 000張圖片，分別對應(yīng)ImageNet[18]的1 000個類別。訓(xùn)練集每個類型包含500張圖片，一共1 000個類別，測試集每個類別一張圖片，共1 000張圖片。

3.2 針對不同目標(biāo)類別的定向攻擊實(shí)驗(yàn)結(jié)果

我們針對ImageNet的1 000個類別，使用迭代FGSM、ATN和GAN方法分別做定向?qū)构?。我們將Inception-ResNet-v2深度網(wǎng)絡(luò)模型作為待攻擊模型，輸入圖像的大小均為299×299，并且要求對抗攻擊方法對樣本的擾動不超過5%。三種攻擊方法在1 000類上的攻擊成功率如圖4所示，GAN方法生成的對抗樣本在目標(biāo)模型上的攻擊成功率明顯高于迭代FGSM和ATN，并且GAN方法在大部分類別上的表現(xiàn)都很穩(wěn)定。

圖4 對抗攻擊在所有目標(biāo)類別的成功率

圖5是針對若干不同目標(biāo)類別(tabby cat,espresso,whistle,sock)生成對抗樣本的攻擊成功率示例，即對三種攻擊方法(ATN，GAN，迭代FGSM)，分別指定所生成的對抗樣本為固定類別。待訓(xùn)練完成，用Inception-ResNet-v2模型對三種方法生成的對抗樣本進(jìn)行分類，得到攻擊成功率，本文的GAN方法相較于ATN和FGSM方法在每種類別都有提高。

圖5 不同目標(biāo)類別的樣本實(shí)驗(yàn)

3.3 不同方法比較實(shí)驗(yàn)結(jié)果與分析

對于ATN網(wǎng)絡(luò)和FGSM進(jìn)行復(fù)現(xiàn)，并在同一數(shù)據(jù)集中對ATN模型和本文提出的模型進(jìn)行訓(xùn)練和測試，對比實(shí)驗(yàn)結(jié)果。針對Inception-ResNet-v2模型進(jìn)行指定預(yù)測類別(Tabby Cat,281)的白盒攻擊。

ATN模型、加入GAN的新模型和FGSM方法在此數(shù)據(jù)集上的結(jié)果比較，指定目標(biāo)類(TabbyCat,281)，針對同一網(wǎng)絡(luò)Inception-ResNet-v2進(jìn)行攻擊得到成功率和生成時間統(tǒng)計如表1所示。

表1 對抗攻擊的成功率和生成時間

平均成功率取自多次試驗(yàn)的平均值，針對同一數(shù)據(jù)和同一深度網(wǎng)絡(luò)模型，設(shè)置相同的目標(biāo)類，即虎斑貓(Tabby Cat,281)，TOP1的統(tǒng)計結(jié)果如表1所示。生成圖像的攻擊成功率指的是指定網(wǎng)絡(luò)結(jié)構(gòu)被錯誤分類的比率，即用生成的圖像去攻擊指定深度網(wǎng)絡(luò)模型得到的成功比例。從表1中可以得到，GAN生成圖像的成功率相比于ATN生成圖片的成功率提高了1.5%，相比于FGSM方法生成圖片的成功率提高了14%，說明本文提出的新型方法相較之前的方法在欺騙指定機(jī)器學(xué)習(xí)網(wǎng)絡(luò)的任務(wù)中有著更好的效果，優(yōu)化了原有模型使得攻擊指定分類器的成功率得到提高。同時，在平均生成時間上，GAN相比于ATN提升了0.2 s的時間，在圖像質(zhì)量相同條件下，所需時間更短。

生成的圖像比較如圖6所示，分別是ATN生成圖像與原圖比較，GAN生成圖像和原圖比較的結(jié)果，在實(shí)驗(yàn)中設(shè)置了擾動誤差最大值，最大可接受擾動誤差為5%，即當(dāng)輸入為x，輸出為y且x(1-5%)

(a) 原圖 (b) GAN生成的對抗樣本 (c) ATN生成的對抗樣本圖6 生成圖像比較

4 結(jié) 語

目前生成對抗樣本的方法往往依賴目標(biāo)深度網(wǎng)絡(luò)模型的梯度，需要已知網(wǎng)絡(luò)的結(jié)構(gòu)并且生成的樣本可以使用去噪算法防御。本文提出了一種在深度網(wǎng)絡(luò)模型的結(jié)構(gòu)未知的前提下進(jìn)行有效攻擊的對抗樣本生成方法，并通過生成對抗網(wǎng)絡(luò)(GAN)和概率向量重排序函數(shù)實(shí)現(xiàn)了一種新型網(wǎng)絡(luò)模型的構(gòu)建。實(shí)驗(yàn)結(jié)果表明本文的模型可以提高攻擊深度網(wǎng)絡(luò)的成功率，同時提高生成圖像的質(zhì)量。另外，將模型生成的對抗樣本遷移到其他深度網(wǎng)絡(luò)是一個研究難點(diǎn)，現(xiàn)有對抗攻擊方法生成的對抗樣本往往只針對部分深度網(wǎng)絡(luò)設(shè)計，同時如何利用GAN生成的對抗樣本進(jìn)行對抗訓(xùn)練也是下一步要繼續(xù)研究的方向。