Djupt lärande har visat imponerande resultat när det gäller svåra perceptuella problem. Forskarna fann emellertid att djupinlärningssystem är sårbara för små, speciellt skapade perturbationer som är omärkliga för människor. Sådana störningar får system för djupinlärning att missklassificera kontradiktoriska exempel, med potentiellt katastrofala konsekvenser där säkerhet eller trygghet är avgörande. Tidigare försvar mot kontradiktoriska exempel antingen riktade specifika attacker eller visade sig vara ineffektiva. Vi föreslår MagNet, ett ramverk för att försvara neurala nätverk klassificerare mot kontradiktoriska exempel. MagNet varken ändrar den skyddade klassificeringen eller kräver kunskap om processen för att generera kontradiktoriska exempel. MagNet omfattar ett eller flera separata detektornätverk och ett reformnätverk. Detektornätverken lär sig att skilja mellan normala och kontradiktoriska exempel genom att approximera mångfaldiga normala exempel. Eftersom de inte antar någon specifik process för att generera kontradiktoriska exempel, generaliserar de väl. Reformernätverket flyttar kontradiktoriska exempel mot de många vanliga exemplen, vilket är effektivt för att korrekt klassificera kontradiktoriska exempel med liten perturbation. Vi diskuterar de inneboende svårigheterna med att försvara oss mot whiteboxattacker och föreslår en mekanism för att försvara sig mot whiteboxattacker. Inspirerade av användningen av slumpmässighet i kryptografi använder vi mångfald för att stärka MagNet. Vi visar empiriskt att MagNet är effektivt mot de mest avancerade state-of-the-art attacker i blackbox och gråbox scenarier utan att offra falsk positiv hastighet på normala exempel. • Säkerhet och integritet → Domänspecifika säkerhets- och sekretessarkitekturer; • Datoriska metoder → Neurala nätverk; KEYWORDS kontradiktoriska exempel, neurala nätverk, autoencoder Tillstånd att göra digitala eller hårda kopior av hela eller en del av detta arbete för personligt eller klassrum användning beviljas utan avgift förutsatt att kopior inte görs eller distribueras för vinst eller kommersiella fördelar och att kopior bär detta meddelande och den fullständiga citering på första sidan. Upphovsrätt till delar av detta verk som ägs av andra än upphovsmannen måste hedras. Abstraktering med kredit är tillåten. För att kopiera på annat sätt, eller återpublicera, för att posta på servrar eller för att omfördela till listor, krävs tidigare specifik behörighet och/eller avgift. Begär tillstånd från authoritys@acm.org. Figur 1: En illustration av reformatorns inverkan på motgångar. Den andra raden visar kontradiktoriska exempel som genererats från de ursprungliga normala exemplen i den första raden av Carlinis L ∞ attack. Den tredje raden visar deras perturbationer mot de ursprungliga exemplen, och dessa perturbationer saknar framträdande mönster. Den fjärde raden visar de kontradiktoriska exemplen efter att ha reformerats av MagNet. Den femte raden visar de återstående perturbationer i de reformerade exemplen mot deras ursprungliga exempel i den första raden, och dessa perturbationer har formen av sina ursprungliga exempel.
Magnet av Meng et al. REF flyttar också kontradiktoriska prover mot mångfaldiga naturliga bilder genom att använda en autoencoder eller en samling autoencoders.
MagNet: A Two-Pronged Defense against Adversarial Examples
{'venue': "CCS '17", 'journal': None, 'mag_field_of_study': ['Computer Science']}