[論文レビュー] Content-based Unrestricted Adversarial Attack

Zhaoyu Chen, Bo Li+4 more|arXiv (Cornell University)|May 18, 2023

Adversarial Robustness in Machine Learning被引用数 10

ひとこと要約

本論文は Adversarial Content Attack (ACA) を紹介します。これは拡散モデルを介して低次元の自然画像多様体上で動作し、写真のようにリアルで内容豊富な敵対的例を高い転送性を持って生成する、制限のない敵対的攻撃です。モデルや防御を跨いで

ABSTRACT

Unrestricted adversarial attacks typically manipulate the semantic content of an image (e.g., color or texture) to create adversarial examples that are both effective and photorealistic, demonstrating their ability to deceive human perception and deep neural networks with stealth and success. However, current works usually sacrifice unrestricted degrees and subjectively select some image content to guarantee the photorealism of unrestricted adversarial examples, which limits its attack performance. To ensure the photorealism of adversarial examples and boost attack performance, we propose a novel unrestricted attack framework called Content-based Unrestricted Adversarial Attack. By leveraging a low-dimensional manifold that represents natural images, we map the images onto the manifold and optimize them along its adversarial direction. Therefore, within this framework, we implement Adversarial Content Attack based on Stable Diffusion and can generate high transferable unrestricted adversarial examples with various adversarial contents. Extensive experimentation and visualization demonstrate the efficacy of ACA, particularly in surpassing state-of-the-art attacks by an average of 13.3-50.4% and 16.8-48.0% in normally trained models and defense methods, respectively.

研究の動機と目的

• Photorealismを保ちつつ多様な内容変更を可能にする制限のない敵対的攻撃を動機づける。
• 画像を低次元多様体に写像し、敵対方向に沿って最適化するフレームワークを提案する。
• Stable Diffusion with Image Latent Mapping と Adversarial Latent Optimization に基づく Adversarial Content Attack (ACA) を開発する。
• 通常訓練モデルおよびさまざまな防御手段に対して ACA の転移性が優れていることを実証する。

提案手法

• Image Latent Mapping (ILM) を用いて実画像を拡散モデルの潜在空間へ写像する。
• アーティファクトを最小化しつつ潜在表現を再構成するためにヌルテキスト埋め込みと意味的テキスト埋め込みを使用する。
• Adversarial Latent Optimization (ALO) によって敵対方向沿いに拡散潜在空間の潜在表現を最適化する。
• 元画像とのL2距離を最小化しつつクロスエントロピー損失を最大化する敵対的目的を定義し、デノイズ過程のスキップ勾配近似を用いる。
• 潜在値を制約する微分可能な境界処理を適用し、潜在空間の撹乱の更新をモメンタムベースで行う。
• inversion 時に画像の現実性を維持するために高デフォルトガイダンス重みを持つ classifier-free guidance を用い、ヌルテキスト最適化を用いる。

実験結果

リサーチクエスチョン

• RQ1 写真実写性を維持しつつ転移性を高める低次元多様体上で制限のない敵対的サンプルを生成できるか？
• RQ2 拡散モデルの潜在空間での最適化は、既存の制限のない攻撃よりも多様で転移性のある敵対的内容を生み出すか？
• RQ3 ACA は通常訓練モデルおよび現在の防御手段（CNN と ViT の両方）に対してどのように性能を発揮するか？
• RQ4 スキップ勾配と微分可能な境界処理を組み込むと潜在空間の敵対的最適化の安定性と現実性は改善されるか？

主な発見

• ACA は高い転移性を達成し、通常訓練モデルに対して最先端の制限のない攻撃を平均で 13.3% から 50.4% 上回る。
• ACA はさまざまな防御手段に対して競合手法を上回り、防御されたモデルで平均約 16.8% から 48.0% のゲインを示す。
• ImageNet 互換データ上の実験は、ACA が CNN と ViT の両方で効果を示し、複数の代理・ターゲット対の下で動作する。
• Image quality の指標は、ACA がベースラインと比較して知覚的な画質を維持または改善することを示す。
• この手法は拡散モデルの多様体を活用して、形状・質感・色といった多様な敵対的内容を合成しつつ写真実写性を維持する。