敵対的な例に対するディープ ニューラル ネットワーク (DNN) の脆弱性が確認されています。既存の敵対的防御は主に、敵対的な例が DNN の生成を防ぐのではなく、DNN への攻撃に成功するのを防ぐことを目的としています。敵対的な例の生成が規制されていない場合、手の届くところにある画像はもはや安全ではなく、堅牢でない DNN に脅威をもたらします。勾配難読化はこの問題に対処しようとしますが、回避可能であることが示されています。したがって、免疫防御と呼ばれ、例に基づく事前防御である、新しい敵対的防御メカニズムを提案します。このメカニズムは、慎重に設計された準知覚不可能な摂動を生の画像に適用して、生の画像の敵対的な例の生成を防ぎ、それによって画像と DNN の両方を保護します。これらの摂動画像は、Immune Examples (IE) と呼ばれます。ホワイトボックス免疫防御では、勾配ベースと最適化ベースのアプローチをそれぞれ提供します。さらに、より複雑なブラックボックスの免疫防御が考慮されます。マスクされた勾配符号降下 (MGSD) を提案して近似誤差を減らし、更新を安定させて IE の転送可能性を改善し、それによってブラックボックスの敵対的攻撃に対する有効性を確保します。実験結果は、最適化ベースのアプローチが、ホワイト ボックス免疫防御において優れたパフォーマンスと優れた視覚的品質を備えていることを示しています。対照的に、勾配ベースのアプローチはより強い転送可能性を持ち、提案された MGSD はベースラインの転送可能性を大幅に改善します。
The vulnerability of Deep Neural Networks (DNNs) to adversarial examples has been confirmed. Existing adversarial defenses primarily aim at preventing adversarial examples from attacking DNNs successfully, rather than preventing their generation. If the generation of adversarial examples is unregulated, images within reach are no longer secure and pose a threat to non-robust DNNs. Although gradient obfuscation attempts to address this issue, it has been shown to be circumventable. Therefore, we propose a novel adversarial defense mechanism, which is referred to as immune defense and is the example-based pre-defense. This mechanism applies carefully designed quasi-imperceptible perturbations to the raw images to prevent the generation of adversarial examples for the raw images, and thereby protecting both images and DNNs. These perturbed images are referred to as Immune Examples (IEs). In the white-box immune defense, we provide a gradient-based and an optimization-based approach, respectively. Additionally, the more complex black-box immune defense is taken into consideration. We propose Masked Gradient Sign Descent (MGSD) to reduce approximation error and stabilize the update to improve the transferability of IEs and thereby ensure their effectiveness against black-box adversarial attacks. The experimental results demonstrate that the optimization-based approach has superior performance and better visual quality in white-box immune defense. In contrast, the gradient-based approach has stronger transferability and the proposed MGSD significantly improve the transferability of baselines.