特征压缩：检测DNN中的对抗样本

论文 2018NDSS-Feature Squeezing Detecting Adversarial Examples in Deep Neural Networks.

原理

样本特征的输入空间过大，会为攻击者构造对抗样本提供很大的机会。而通过压缩的手段，可以将不必要的输入特征压缩，进而降低攻击者的自由度。
特征压缩是检测对抗样本的一种手段。将DNN对原始样本的预测结果与对特征压缩后的样本的预测结果进行对比。倘若对比结果的差值超出一定阈值，则其输入的图像是对抗样本，反之则为正常图像。

压缩方式

1.压缩颜色位深
通常，不需要大的颜色位深来表示图像，比如人们可以识别大多数的黑白图像。不同的像素点的像素值存在差异，就好似阶梯，有着高低不同的差别。通过颜色位深的压缩，不同像素点之间的差异变小，使得异常像素点的值变得不明显，从而压缩之后的预测结果发生变化。

2.空间平滑
空间平滑分为局部平滑和非局部平滑。

• 局部平滑
  利用每个像素附近的像素值对其进行平滑，使相邻像素更相似，将异常特征去除。具体分为均值平滑、中值平滑和高斯平滑。其本质为，使得相邻像素更相似，将特征从样本中挤出。
• 非局部平滑
  在更大的区域而不是附近的像素上平滑相似的像素。

防御效果

针对不同的攻击，不同的压缩方式具有不同的防御效果。

• 对于$L_0$攻击，由于是对个别像素进行了比较大的扰动，通过颜色位深的压缩，各像素之间的差异仍比较明显。适用于空间平滑的方式
• 对于$L_{\infty }$攻击，由于各像素点都受到了干扰，因此无法使用空间平滑的方法进行防御，适合颜色位深的压缩方式。
• 对于$L_2$攻击，无论是哪种压缩方式，效果都不佳。

另外，由于特征压缩不会改变模型本身，因此特征压缩的防御方法可以跟其他防御方法结合，增强防御效果。
通常，会将多个压缩器联合后进行对抗样本的检测。原因在于，无法预知攻击者使用哪种攻击方式，联合压缩器可以检测更多种类的攻击。