对抗机器学习：机器学习系统中的攻击和防御

《对抗机器学习：机器学习系统中的攻击和防御》讨论机器学习中的安全性问题，即讨论各种千扰机器学习系统输出正确结果的攻击方法以及对应的防御方法。书中首先回顾机器学习的概念和方法，提出对机器学习攻击的总体分类。然后讨论两种主要类型的攻击和相关防御：决策时攻击和投毒攻击。之后，讨论针对深度学习的攻击的新技术，以及提高深度神经网络鲁棒性的方法。最后，讨论对抗学习领域的几个重要问题。
　　《对抗机器学习：机器学习系统中的攻击和防御》旨在为读者提供在对抗环境下成功从事机器学习研究和实践所必需的工具，适合对对抗机器学习领域感兴趣的读者阅读。

叶夫根尼·沃罗贝基克（Yevgeniy Vorobeychik）2008年在密歇根大学获得计算机科学与工程博士学位，目前是美国范德堡大学的计算机科学、计算机工程和生物医学信息学助理教授。他曾是桑迪亚国家实验室的首席研究员。他于2017年获得NSF CAREER奖。他的研究领域包括安全和隐私的博弈论建模、对抗机器学习、算法与行为博弈论和激励设计、优化、基于代理的建模、复杂系统、网络科学和流行病控制。
　　
　　穆拉特·坎塔尔乔格卢（Murat Kantarcioglu）在普渡大学获得计算机科学博士学位，目前是美国得克萨斯大学达拉斯分校的计算机科学教授和UTD数据安全与隐私实验室主任。他已经发表了超过1 75篇同行评审论文，还获得了各种奖项，包括NSF CAREER奖、普渡CERIAS钻石学术奖、AMIA（美国医学信息学会）201 4年Homer R.Warner奖和IEEE ISI（情报与安全信息学）2017年技术成就奖。他是ACM的杰出科学家。王坤峰，
　　王坤峰是北京化工大学信息科学与技术学院教授。他于2003年7月获得北京航空航天大学材料科学与工程专业学士学位，于2008年7月获得中国科学院研究生院控制理论与控制工程专业博士学位。2008年7月至2019年7月，他在中国科学院自动化研究所工作，历任助理研究员、副研究员，其中2015年12月至2017年1月，在美国佐治亚理工学院做访问学者。2019年8月，他调入北京化工大学，任教授。
　　他的研究方向包括计算机视觉、机器学习、智能交通和自动驾驶。他主持和参加了国家自然科学基金、国家重点研发计划、863、973、中科院院地合作项目、国家电网公司科技项目等科研项目20多项，在国内外期刊和会议上发表学术论文70多篇，其中SCI论文20多篇。他获授权国家发明专利17项，获得2011年中国自动化学会技术发明一等奖、2018年中国自动化学会科学技术进步特等奖。现为IEEE Senior Mem-ber、中国自动化学会高级会员、中国自动化学会平行智能专委会副主任、模式识别与机器智能专委会委员、混合智能专委会委员、中国计算机学会计算机视觉专委会委员、中国图象图形学学会机器视觉专委会委员、视觉大数据专委会委员。他目前担任国际期刊《IEEE Transactions on Intelligent Transportation Systems》编委，曾经担任《Neu-rocomputing》专刊和《自动化学报》专刊客座编委。
　　
　　王雨桐，王雨桐是中国科学院大学人工智能学院和中国科学院自动化研究所直博研究生。她于2016年获得哈尔滨工程大学自动化专业学士学位。她的研究方向是对抗深度学习、深度学习的安全性与可解释性，尤其专注于图像分类和目标检测任务中的对抗攻击和防御。她已经在《IEEE Transactions on Vehicular Technology》《 Neurocomputing》《IEEE Intelligent Vehicles Symposium》《模式识别与人工智能》以及中国自动化大会等国内外期刊和会议上发表了多篇论文。

近年来，对抗机器学习研究领域受到了广泛的关注，其中很多关注都集中在一种称为对抗样本的现象上。它的常见形式是，对抗样本获取一幅图像，并添加人类观察者通常看不见的少量失真，从而改变图像的预测标签（举一个最著名的例子，将熊猫预测为长臂猿）。但是，本书不是专门针对对抗样本的探索。相反，我们的目标是更宽泛地解释对抗机器学习领域，顾及监督学习和无监督学习，以及对训练数据的攻击（投毒攻击）和决策（预测）时攻击，其中对抗样本只是一种特殊情况。我们试图传达这个快速发展领域的基本概念，以及技术和概念上的研究进展。特别是，除了介绍性材料外，本书的流程是首先描述用于攻击机器学习的算法技术，然后描述使机器学习对此类攻击具有鲁棒性的算法进展。在第8章，我们概述了针对深度学习方法的一些最新进展。虽然在更宽广的对抗学习领域看到这类方法很重要，但是在深度神经网络背景下，这一章描述的动机、技术和经验观察最为突出（尽管许多技术方法在原理上是相当通用的）。
　　本书假设读者对相关知识有足够的了解。虽然书中介绍了机器学习的概念、术语和符号，但可能需要读者事先对机器学习有一定程度的熟悉，这样才能完全掌握技术内容。另外，我们希望读者对统计学和线性代数具有某种程度的熟悉，并对优化有一些先验知识（特别是，本书关于凸优化的叙述和对梯度下降等技术的讨论都假设读者熟悉这些概念）。

译者序
前言
致谢
作者简介
译者简介

第1章 引言
第2章 机器学习预备知识
2．1 监督学习
2．1．1 回归学习
2．1．2 分类学习
2．1．3 PAC可学习性
2．1．4 对抗环境下的监督学习
2．2 无监督学习
2．2．1 聚类
2．2．2 主成分分析
2．2．3 矩阵填充
2．2．4 对抗环境下的无监督学习
2．3 强化学习
2．3．1 对抗环境下的强化学习
2．4 参考文献注释

第3章 对机器学习的攻击类型
3．1 攻击时机
3．2 攻击者可以利用的信息
3．3 攻击目标
3．4 参考文献注释

第4章 决策时攻击
4．1 对机器学习模型的规避攻击示例
4．1．1 对异常检测的攻击：多态混合
4．1．2 对PDF恶意软件分类器的攻击
4．2 决策时攻击的建模
4．3 白盒决策时攻击
4．3．1 对二元分类器的攻击：对抗性分类器规避
4．3．2 对多类分类器的决策时攻击
4．3．3 对异常检测器的决策时攻击
4．3．4 对聚类模型的决策时攻击
4．3．5 对回归模型的决策时攻击
4．3．6 对强化学习的决策时攻击
4．4 黑盒决策时攻击
4．4．1 对黑盒攻击的分类法
4．4．2 建模攻击者信息获取
4．4．3 使用近似模型的攻击
4．5 参考文献注释

第5章 决策时攻击的防御
5．1 使监督学习对决策时攻击更坚固
5．2 最优规避鲁棒性分类
5．2．1 最优规避鲁棒的稀疏SVM
5．2．2 应对自由范围攻击的规避鲁棒SVM
5．2．3 应对受限攻击的规避鲁棒SVM
5．2．4 无限制特征空间上的规避鲁棒分类
5．2．5 对抗缺失特征的鲁棒性
5．3 使分类器对决策时攻击近似坚固
5．3．1 松弛方法
5．3．2 通用防御：迭代再训练
5．4 通过特征级保护的规避鲁棒性
5．5 决策随机化
5．5．1 模型
5．5．2 最优随机化的分类操作
5．6 规避鲁棒的回归
5．7 参考文献注释

第6章 数据投毒攻击
6．1 建模投毒攻击
6．2 对二元分类的投毒攻击
6．2．1 标签翻转攻击
6．2．2 对核SVM的中毒数据插入攻击
6．3 对无监督学习的投毒攻击
6．3．1 对聚类的投毒攻击
6．3．2 对异常检测的投毒攻击
6．4 对矩阵填充的投毒攻击
6．4．1 攻击模型
6．4．2 交替最小化的攻击
6．4．3 核范数最小化的攻击
6．4．4 模仿普通用户行为
6．5 投毒攻击的通用框架
6．6 黑盒投毒攻击
6．7 参考文献注释

第7章 数据投毒的防御
7．1 通过数据二次采样的鲁棒学习
7．2 通过离群点去除的鲁棒学习
7．3 通过修剪优化的鲁棒学习
7．4 鲁棒的矩阵分解
7．4．1 无噪子空间恢复
7．4．2 处理噪声
7．4．3 高效的鲁棒子空间恢复
7．5 修剪优化问题的高效算法
7．6 参考文献注释
……
第8章 深度学习的攻击和防御
第9章 未来之路
参考文献
索引