。

然而#xff0c;这些模型容易受到对抗攻击的影响#xff0c;尤其是对于表意文字语言#xff08;如中文#xff09;。

在本研究中#xff0…摘要

大规模预训练语言模型在自然语言处理NLP任务上取得了最新的最优结果SOTA。

然而这些模型容易受到对抗攻击的影响尤其是对于表意文字语言如中文。

ROCBERT——一种对抗各种形式对抗攻击如单词扰动、同义词替换、拼写错误等具有鲁棒性的中文预训练

BERT

objective进行预训练以最大化不同合成对抗样本下的标签一致性。

此外模型输入包含多模态信息包括

我们发现这些特征对于提升模型的鲁棒性至关重要因为对抗攻击可能发生在这三种信息模态中。

在三种黑盒对抗攻击算法下均优于强基线模型同时不损失干净测试集clean

testset上的性能。

此外在有害内容检测任务中该模型在人工构造的攻击下表现最佳。

al.,

然而即便这些模型在海量文本上进行了预训练它们仍然容易受到对抗攻击adversarial

同义词替换synonyms

deletion/swapping拼写错误misspelling

这些对抗样本adversarial

在噪声较大的真实环境中进行测试时这些预训练模型的鲁棒性不足可能会导致严重的性能下降。

这一问题在表意文字语言如中文中尤为突出因为对抗攻击可以发生在

字形Glyph

Character拼音Pinyin即罗马化音标表示或二者结合的方式

Wang

攻击者甚至可以先将汉字转换为拼音然后在字母层面继续攻击如表中的

由于汉字的语义与语音信息相互独立且汉字的字形字符丰富使得攻击形式远比英语等字母语言更加多样化。

拼写检查Spell

在文本输入预测模型之前先进行拼写检查以修正书写错误相关研究Pruthi

al.,

2021问题中文拼写检查本身就是一个极具挑战的任务模型需要准确恢复原始文本而拼写检查中的微小错误都可能导致模型无法预测或产生错误行为

对抗训练Adversarial

2020问题在微调阶段模型难以适应所有对抗变体尤其是在训练数据稀缺的情况下Meng

al.,

在编码器中融合语义、音韵和视觉信息以全面抵御不同形式的攻击其中语音和视觉特征被插入到自注意力层Self-Attention

Layer中然后在后续层进行动态融合

个有害内容检测任务上我们的预训练模型在各种对抗攻击下达到了最新

SOTA

预训练方法结合对抗对比学习使模型在干净测试集和对抗攻击数据集上都能表现良好。

采用合成对抗样本涵盖语义、音韵和视觉三种攻击类型并融合多模态特征来防御所有级别的攻击。

在

NLU

个有害内容检测任务上在各种对抗攻击下均超越强基线模型。

进行广泛的消融实验探讨不同预训练选项的影响并与主流对抗防御方法进行了深入比较以促进未来研究。

相关工作

模型在对抗样本下极易受到攻击即使这些样本对人类来说可理解但会导致模型预测错误Li

al.,

对于中文而言由于汉字的字形和拼音特性噪声可以同时作用在字形和拼音上Zhang

al.,

拆分汉字为两个子部分且每部分仍是有效汉字或视觉相似汉字参考中文拆分字典共17,803

种拆分方式

除了中文字符中文语料库中还包含拼音、数字、标点符号和外文单词。

我们设计了以下

种攻击方法适用于所有字符类型

给定一个句子我们首先选择多个字符作为攻击目标。

针对每个被选中的字符我们结合上述字符级攻击算法生成被攻击后的字符形式。

攻击比例Attack

\gamma\operatorname*{min}(\operatorname*{max}(\operatorname{int}(\epsilon),1),n_{c})

\mathrm{(1)}

\epsilon\sim\mathcal{N}(\max(1,0.15n_{c}),1)

\end{aligned}

​γmin(max(int(ϵ),1),nc​)ϵ∼N(max(1,0.15nc​),1)​(1)​

其中int

函数将四舍五入为最接近的整数。

这样做的直观原因是我们希望平均攻击

15%

的字符。

如果句子较短我们将确保至少攻击一个字符。

我们在平均比例的基础上添加了正态高斯噪声以增加一定的随机性。

al.,

2020a。

因此我们根据字符在句子中的信息量来决定其被选中的概率。

设

w(c_i)

p(c_i)\frac{e^{\mathcal{L}(\nabla

w(c_i))}}{|w(c_i)|\sum_{j1}^{n_w}e^{\mathcal{L}(\nabla

w_j)}}\qquad{(2)}

p(ci​)∣w(ci​)∣∑j1nw​​eL(∇wj​)eL(∇w(ci​))​(2)

n_{w}

攻击组合一个字符可能会受到多种攻击的组合。

例如我们可以将一个中文字符转换为其拼音然后继续在字母级别对其进行攻击如表1中的“to

pinyin

unicode”。

我们将其定义为一个顺序过程每一步都可以在之前的基础上添加新的攻击。

具体来说所有攻击组合应用于字符

\tilde{c}

\tilde{c}A_{S(c)}\circ\cdots\circ

A_2\circ

借助上述对抗样本生成算法我们可以通过多模态对比学习目标来预训练模型。

4.1

2019作为基础并在此基础上**将语音Phonetic和视觉Visual特征融合到输入文本中。

特征表示Feature

中提取的。

对于汉字该图像采用宋体Simsun对于其他字符则采用Arial字体这些是大多数在线文本的默认字体。

Vi(c)

Vi(c)LayerNorm(M^TResNet18(I(c)))\qquad{(4)}

Vi(c)LayerNorm(MTResNet18(I(c)))(4)

ResNet18

为了获得合理的初始化我们增加了一个仅针对视觉表征的预训练阶段。

语音表征Phonetic

representations在训练开始时随机初始化。

视觉表征的变换矩阵

M公式

提到的三种视觉攻击方法****视觉替换、字符拆分、Unicode

被拆分为两个字符

一个直接的多模态特征融合方法是在送入编码器encoder之前进行融合Sun

al.,

然而这种方法会对三种特征语义、语音、视觉赋予相等的权重**使模型无法动态关注最有用的特征。

encoding先确定各特征的权重然后用选择性注意力进行编码Xu

al.,

我们提出了一种轻量级融合方法——“层插入”layer-insert)

H_k(i)

\frac{W_{1}H^{k}(i)W_{2}Ph(i)W_{3}Vi(i)}{W_{1}W_{2}W_{3}}

\end{aligned}

W1​W2​W3​Hk(i)​K1T​Hk(i)Hk(i)V1​K2T​Hk(i)Ph(i)V2​K3T​Hk(i)Vi(i)V3​W1​W2​W3​W1​Hk(i)W2​Ph(i)W3​Vi(i)​​

Ph(i)

层来决定三种多模态表示的权重并使用其余层进行句子表示学习。

这使得模型能够根据句子上下文动态融合多模态信息同时仅增加少量复杂性。

4.2

模型损失由两部分组成对比学习损失和标准的掩码语言模型MLM损失。

对比学习对比学习Chen

2021的核心思想是表示空间应使相似正样本更接近而使不相似负样本更远离。

对于每个句子我们将其对抗形式通过第

节中的算法获得视为正样本并将同一批次中的所有其他句子视为负样本。

给定一个包含

个句子

\mathcal{L}_{c}(i)-\log\frac{e^{sim(s_{i},\tilde{s}_{i})/\tau}}{\sum_{j1}^{N}e^{sim(s_{i},s_{j})/\tau}},\qquad{(5)}

Lc​(i)−log∑j1N​esim(si​,sj​)/τesim(si​,s~i​)/τ​,(5)

\tau

\frac{\vec{h_i}^T\vec{h_i}}{\|\vec{h_i}\|

\cdot

我们采用基于字符character-based的分词器原因如下

al.,

2019b。

基于字符的模型在嘈杂noisy或对抗性adversarial场景下更具鲁棒性**El

Boukkouri

2021以动态内存调度结合基于块chunk-based的内存管理。

该方法会将除当前计算部分外的所有内容卸载到

CPU从而在相同硬件条件下训练更大的模型。

基于块的内存管理利用了Transformer

基线模型Baseline

级、短语级、实体级在大规模异构数据上进行预训练。

ChineseBERTSun

al.,

2021在预训练过程中加入了字形glyph和音韵phonetic特征。

评测任务Tasks

attacks形成对比。

数据来源于用户在某在线对话平台上的输入其中用户会刻意使用各种攻击手段来规避系统的自动过滤如垃圾广告、色情、辱骂等。

我们手动标注了50k

条用户输入其中2k

三种不同的攻击方法下测试模型表现均为无目标攻击即不对目标类别施加限制

al.,

黑盒black-box攻击算法通过用语义相似的词替换关键字来欺骗模型。

原生为英文算法我们重新实现reimplement了对应的中文版本。

ArgotZhang

攻击的影响较小因为这些任务更依赖全局句子结构而非个别单词。

在情感分类sentiment

classification和自然语言推理NLI等任务中单个词汇对模型决策的影响较大因此攻击会导致显著的性能下降。

Argot

TextFooler

更有效因为它在替换字符时考虑了中文的特定特征Chinese-specific

总体而言ROCBERT

在各种攻击下排名第二因为它在预训练时也考虑了多模态特征multimodal

features这进一步证明了多模态特征在中文语言预训练中的重要性。

有害内容检测结果Toxic

个评测指标上都优于所有其他模型这验证了其能够捕捉真实语义而不受对抗攻击形式的影响。

不同模型之间的性能差异较小因为它们都在该任务上进行了微调finetuning。

防御方法比较Defending

Checker在输入模型之前运行拼写检查器。

对抗训练Adversarial

Training,

我们在不同任务中将这两种防御方法添加到在干净测试集上表现最好的

base

Checking对模型性能的提升非常有限甚至在某些情况下反而降低性能例如在

ChnSentiCorp

拼写检查器对领域外out-of-domain的对抗样本效果较差错误的拼写修正会导致错误传播从而降低整体性能。

对抗训练AdvTrain能显著提升模型的鲁棒性robustness但它的缺点是它“窥探”peeps了测试集中的对抗攻击算法即它在训练时已经知道测试中使用的攻击类型。

ROCBERT

Study以理解ROCBERT不同组件的选择对模型性能的影响。

base

但对于拼音pinyin和非中文词汇最佳的分词方法尚不明确。

因此我们尝试了以下几种不同的分词方法

BPEByte

Examples拼音中的字母更容易受到干扰从而破坏其词汇表结构。

字符级Char-Based分词方法在对抗攻击下更具鲁棒性。

Char-CNN

拼音字符组合数量有限约

种不同的攻击算法下保持强大的鲁棒性且不会影响干净测试集的性能在有害内容检测任务Toxic

Content

Detection上显著超越其他模型提供了大量消融实验Ablation