【论文笔记】Skip Connections Matter: On the Transferability of Adversarial Examples Generated with ResNet

0.摘要

     这篇论文提出了一种利用最先进的 ResNet 和 DenseNet 中 Skip connection 结构的对抗样本生成方法，称为 ‘SGM’，这种生成方法能与之前的对抗样本生成技术结合，提高生成的对抗样本的黑盒攻击转移率。

 

 

1.背景

1.1 关于Skip connection结构

 

      ResNet即残差网络，与普通神经网络模型的最大区别是引入了skip connection结构。最基本的公式如上所示，表示将某一层的输入数据跳跃若干层作用到更深的另一层输入之中，形成了如下所示的‘残差块‘

     那这样做有什么好处呢？研究实验表明这样可以有效解决深度网络训练优化过程中的梯度消失等问题，因为相当于在梯度中加入了不变的常数项，在反向传播过程中就可以把梯度影响传递得更深。除此之外，skip connection还可以增强网络泛化能力、减轻网络的退化。而DenseNet即神经网络的每两层之间都添加skip connection结构。

 

1.2 之前提出的一些对抗样本生成算法

 

1.3 对Skip connection结构的实验

     在ResNet-18模型上进行梯度传播实验，考虑上面左图中模型中的三个skip connection结构，实验中人为选择此部分模型中梯度流的传播方向来研究skip connection结构的影响。可以发现经过skip connection的梯度流具有更好的攻击成功率和黑盒转移成功率，于是我们可以考虑在计算梯度流的过程中为残差模型部分乘上一个小于1的衰减参数来减小其在梯度计算中的影响。

 

 

2.SGM算法

     考虑三个连续的残差块（残差模型+相应的skip connection），，其中令 Z0为输入，Z3为输出，那么我们可以迭代得到如下公式

     关于loss function相应的梯度计算如下

     扩展到L个残差块，并且引入衰减参数，计算关于模型输入x的梯度公式如下：

     定义了新的梯度计算方法后就可以结合之前基于梯度的对抗样本生成算法，例如结合 PGD 算法：

     算法本质理解：Skip connection结构上的梯度流是不经过中间的残差模型直接传递到低层，能够更加直接反映低层对输出结果的影响，即SGM关注了更多可转移的低层信息。SGM算法其实是一种优化，优化了基于梯度的攻击中的梯度计算，所以任何基于梯度的攻击算法都可以与SGM结合（只要原模型存在skip connection结构）

 

 

3.SGM的黑盒攻击转移性与现有算法的结果对比

3.1 单步攻击转移性（此处SGM = FGSM + SGM）

3.2 多步攻击转移性（此处SGM = PGD + SGM）

     从上面两个结果可以看出，SGM具有目前最优的单步和多步黑盒转移攻击成功率。另外，从不同Source Module的成功率分析可以发现，当Source Module中具有更多的Skip connection结构时，SGM生成的对抗样本转移率更高（其他算法维持不变）。

3.3 对经过对抗训练的安全模型的转移攻击

3.4 结合集成模型技术的转移攻击

 

 

4.关于SGM衰减参数选择

     可以发现，对于源模型为DenseNet最优的衰减参数为0.5，因为DenseNet中有密集的skip connection结构，当衰减参数过小时则对于高层信息的关注不足。而对于ResNet最优的衰减参数为0.2，因为模型中的skip connection结构数量不算多，所以需要更多地利用skip connection结构的梯度流来揭露更多的可转移信息（即对残差模型的梯度流乘上更小的衰减参数）。

     此外，实验还可以证明对于最优衰减参数的选择，更多是与源模型相关而不是目标模型，即对于一个给定的源模型，攻击不同目标模型时最优的衰减参数往往一致。