[論文レビュー] Blackbox Attacks via Surrogate Ensemble Search

Zikui Cai, Chengyu Song+3 more|arXiv (Cornell University)|Aug 7, 2022

Adversarial Robustness in Machine Learning被引用数 10

ひとこと要約

本稿では、摂動マシンと重み付きアンサンブルの代替モデルを用いて adversarial 例を生成する、クエリ効率の高い新規手法 Blackbox Attacks via Surrogate Ensemble Search (BASES) を提案する。被害者モデルのクエリを用いて低次元の重み空間を探索することで、BASES は ImageNet の分類器および Google Cloud Vision API において、1画像あたり3クエリで90%を超える標的攻撃成功率を達成し、最先端手法と比較して30倍少ないクエリ数を実現した。

ABSTRACT

Blackbox adversarial attacks can be categorized into transfer- and query-based attacks. Transfer methods do not require any feedback from the victim model, but provide lower success rates compared to query-based methods. Query attacks often require a large number of queries for success. To achieve the best of both approaches, recent efforts have tried to combine them, but still require hundreds of queries to achieve high success rates (especially for targeted attacks). In this paper, we propose a novel method for Blackbox Attacks via Surrogate Ensemble Search (BASES) that can generate highly successful blackbox attacks using an extremely small number of queries. We first define a perturbation machine that generates a perturbed image by minimizing a weighted loss function over a fixed set of surrogate models. To generate an attack for a given victim model, we search over the weights in the loss function using queries generated by the perturbation machine. Since the dimension of the search space is small (same as the number of surrogate models), the search requires a small number of queries. We demonstrate that our proposed method achieves better success rate with at least 30x fewer queries compared to state-of-the-art methods on different image classifiers trained with ImageNet. In particular, our method requires as few as 3 queries per image (on average) to achieve more than a 90% success rate for targeted attacks and 1-2 queries per image for over a 99% success rate for untargeted attacks. Our method is also effective on Google Cloud Vision API and achieved a 91% untargeted attack success rate with 2.9 queries per image. We also show that the perturbations generated by our proposed method are highly transferable and can be adopted for hard-label blackbox attacks. We also show effectiveness of BASES for hiding attacks on object detectors.

研究の動機と目的

• クエリベースのブラックボックス攻撃における高いクエリコストを低減しつつ、高い成功率を維持すること。
• 転送ベースの攻撃の低成功率を、転送とクエリのメカニズムを組み合わせることで克服すること。
• 特にアクセス制限の厳しい環境において、標的ブラックボックス攻撃に必要なクエリ数を最小限に抑えること。
• 統一されたフレームワークを用いて、画像分類器やオブジェクト検出器を含む多様なモデルに対して効果的な攻撃を可能にすること。
• Google Cloud Vision などのハードラベルおよび実世界のAPIに対しても、摂動の転送性を実証すること。

提案手法

• 固定されたアンサンブルの代替モデルに対して重み付き損失関数を最小化することで、摂動マシン（PM）が adversarial 摂動を生成するように定義する。
• アンサンブル内の各代替モデルに学習可能な重みを割り当て、摂動の方向を動的に制御可能にする。
• 被害者モデルのフィードバックを用いて、外側のループで重みベクトルを探索し、被害者モデルの損失を最小化する。
• 二段階最適化フレームワークを採用：内側のループでPMを介して摂動を生成；外側のループでクエリを用いて重みを更新する。
• 低次元の重み空間を効率的に可視化および走査するために、重心座標（Barycentric coordinates）を用いる。
• 多様な代替モデルからの摂動の転送性を活用し、未観測の被害者モデルへの一般化を向上させる。

実験結果

リサーチクエスチョン

• RQ1 学習可能な重みを備えた代替アンサンブルは、成功するブラックボックス攻撃に必要なクエリ数を著しく削減できるか？
• RQ2 クエリ効率と成功率の観点から、BASES は最先端のクエリベースおよび転送ベース手法と比較してどの程度優れているか？
• RQ3 BASES が生成する adversarial 摂動は、Google Cloud Vision などの実世界のAPIへどの程度転送可能か？
• RQ4 BASES はオブジェクト検出モデルへの攻撃に拡張可能か？また、ハードラベルおよびアンターゲット設定ではどの程度の効果を示すか？
• RQ5 アンサンブル重み上の損失の地形は、最小限のクエリ数で効率的な探索が可能な構造的特徴を有しているか？

主な発見

• BASES は、ImageNet 分類器において、1画像あたり平均3クエリで90%を超える標的攻撃成功率を達成し、SOTA 手法と比較して30倍少ないクエリ数を実現した。
• アンターゲット攻撃では、1～2クエリで1画像あたり99%を超える成功率に達し、極めて高いクエリ効率を示した。
• Google Cloud Vision API では、1画像あたり2.9クエリで91%のアンターゲット攻撃成功率を達成した。
• 本手法は、VGG-19、DenseNet-121、ResNext-50 およびオブジェクト検出器（RetinaNet や Deformable DETR）を含む多様なモデルにおいても高い性能を維持した。
• BASES が生成する摂動は強く転送可能であり、ハードラベル環境および実世界のAPIに対しても効果的な攻撃を可能にした。
• 損失地形の可視化により、最適な重み設定が存在し、最小限のクエリ数で到達可能であることが確認され、探索戦略の有効性が裏付けられた。