基于规则扰动定位的离散多头训练方法，用于精确的文本防御

《Pattern Recognition》：Discrete multi-head training with rule-based perturbation location for accurate text defense

　　

• •
  提出了一种新的文本对抗防御方法——基于规则扰动定位的离散多头训练（DMT-RPL），该方法解决了现有组合防御策略的局限性。
• •
  采用离散多头训练（DMT）同时训练受害模型头和掩码语言模型（MLM）头，生成更接近真实攻击的离散对抗样本，从而更有效地恢复文本。
• •
  利用基于规则扰动定位（RPL）技术，结合词重要性和频率规则来准确定位扰动，提升文本净化能力和防御效果。
• •
  与四种流行的基线方法相比，我们的方法表现出更优的性能：动态防御能力提高了17.56%，扰动定位准确性提高了11.64%，并且在25种防御场景中均增强了迁移防御能力。

引言

近年来，我们见证了自然语言处理（NLP）模型的快速发展，尤其是基于变压器的模型，如BERT [1]、T5 [2]、ChatGPT [3]和DeepSeek [4]。尽管这些模型在各种NLP任务中取得了巨大成功，例如情感分析 [5] 和文本生成 [6]，但它们也容易受到对抗性示例的攻击 [7]、[8]、[9]。主要原因如图1(a–c)所示：模型边界与某些类型的示例过于接近，以至于即使是很小的扰动也能绕过这个敏感边界。在这种情况下，模型可能会错误地将负面情感示例识别为正面情感，或将有害问题视为安全问题，从而对金融交易 [10]、医疗系统 [11]、智能警务 [12] 等带来重大安全风险。因此，开发有效的对抗防御方法以保护NLP模型免受攻击已成为一个紧迫的研究课题。

根据修改对象的不同，现有的文本防御方法大致可以分为三类：模型驱动的防御 [13]、[14]、数据驱动的防御 [15]、[16] 以及组合防御 [17]、[18]。首先，模型驱动的防御直接优化模型参数或重构网络结构，以获得更加宽容的边界（见图1(d)）。例如，典型的对抗训练 [14]、[19] 通常通过将额外的对抗性示例添加到训练集中来重新训练模型参数，从而使模型边界适应这些对抗性样本。然而，这些对抗性示例可能来自真实攻击者 [20]、[21]，或者来自虚拟嵌入扰动 [19]、[22]、[23]。这些策略往往难以抵御未被看到的攻击者，或者存在连续嵌入扰动与真实离散文本操作之间的连续-离散差距。与对抗训练不同，认证鲁棒性 [24]、[25] 通过添加高斯噪声等噪声来优化模型参数，而不是使用对抗性示例，从而提供理论上的鲁棒边界。这意味着在关于攻击方法和模型结构的某些假设下，模型在理论上是鲁棒的。除了参数优化外，一些研究人员还尝试通过设计多头网络 [26] 来混淆攻击者，或在模型中插入特定层 [27] 以消除不稳定的特征。然而，模型驱动防御的共同缺点是它们只关注模型本身，而忽略了输入数据的特性。

其次，数据驱动的防御方法通常作为数据预处理步骤，用于检测对抗性示例 [15]、[16] 或将对抗性文本重构为干净文本 [28]、[29]、[30]。通常，对抗性检测会训练一个二分类器，根据样本的分布特征来区分干净样本和对抗性样本 [15]、[16]。当攻击策略已知时，这种方法是有效的，但其泛化能力有限，无法有效防御未知或适应性攻击。另一方面，数据重构方法 [28]、[29]、[30] 希望将对抗性示例推过边界，以便能够正确识别它们。与对抗性检测相比，数据重构方法具有更好的泛化能力，因为它不依赖于特定的攻击方式。然而，这两种方法都只是对数据进行操作，并不改变模型的敏感边界（见图1(e)）。在这种情况下，将对抗性样本推回正确的一侧需要经过较长的路径，可能导致巨大的语义损失或防御失败。

第三，组合防御方法 [17]、[18] 试图结合前两种策略的优势（见图1(f)），即同时优化输入数据和受害模型。这理论上减少了误分类的可能性，但现有方法仍面临两个挑战：(1) 模型训练通常依赖于连续扰动优化，如虚拟对抗训练，而不是真实的离散攻击者。这种连续-离散差距容易加剧训练数据与真实对抗性示例之间的不匹配，最终降低防御性能 [18]、[22]；(2) 数据净化采用随机扰动定位，而真实攻击者通常使用某些预定义的规则来操纵文本 [31]、[32]。因此，这些方法难以准确识别和消除对抗性扰动，限制了它们的整体防御效果。

为了解决这些问题，我们提出了一种新的文本防御方法——基于规则扰动定位的离散多头训练（DMT-RPL）。在训练阶段，离散多头训练（DMT）方法同时训练受害模型头和掩码语言模型（MLM）头。受害模型头被训练为做出更宽容/鲁棒的预测，而MLM头被训练为生成离散的对抗性样本并将对抗性样本恢复为良性样本。由于离散性，我们的DMT生成的对抗性样本更接近真实攻击者（见图3）。在推理过程中，我们设计了基于词重要性和频率规则的规则扰动定位（RPL）机制来识别对抗性位置。由于这些规则被常用攻击者采用，它们也有助于准确定位扰动。总体而言，我们的方法结合了模型优化和数据处理来实现精确的文本防御。我们的贡献包括：

章节摘要

相关工作

本节简要回顾了文本防御方法，并将其大致分为模型驱动方法、数据驱动技术和混合防御。

模型驱动方法是流行的防御策略，包括早期的对抗训练 [14]、[19] 以及一些新兴方法，如认证鲁棒性 [24]、[25] 和结构优化 [26]、[27]。对抗训练最初是在图像领域提出的 [33]，它通过将对抗性示例添加到训练集中来进行重新训练

算法

在本节中，我们首先简要介绍对抗防御的目标（第3.1节），然后分别讨论我们提出的离散多头训练（DMT）（第3.2节）和基于规则扰动定位（RPL）（第3.3节）。

实验

我们在四个流行的文本数据集上评估了DMT-RPL方法的有效性，并将其与五种典型的防御方法进行了比较。实验设置和结果详细讨论如下。

结论

在本文中，我们提出了一种新的文本防御方法——DMT-RPL，该方法结合了离散多头训练和基于规则扰动定位，以增强对文本对抗攻击的鲁棒性。通过生成离散的对抗性样本并准确定位扰动，我们的方法有效地恢复了干净文本并提高了防御性能。在25个案例中的分类和生成任务实验表明，DMT-RPL在性能上取得了持续的提升

CRediT作者贡献声明

王志凯：撰写 – 原稿，软件开发。杨兴浩：撰写 – 审阅与编辑，撰写 – 原稿。刘宝迪：撰写 – 审阅与编辑，监督。刘伟：撰写 – 审阅与编辑，监督。刘伟峰：撰写 – 审阅与编辑，资源提供。

利益冲突声明

作者声明他们没有已知的竞争性财务利益或个人关系可能会影响本文报告的工作。

致谢

本工作部分得到了国家自然科学基金（资助编号：62406341）、山东省科技创新青年人才计划（资助编号：SDAST2024QTA040）、山东省自然科学基金（资助编号：ZR2023QF051）、山东省优秀青年科学基金项目（海外项目）（资助编号：2023HWYQ-070）以及青岛市智能感知重点实验室的支持

Zikai Wang|Xinghao Yang|Baodi Liu|Wei Liu|Weifeng Liu