[論文レビュー] Diffusion-Based Adversarial Sample Generation for Improved Stealthiness and Controllability

Haotian Xue, Alexandre Araujo+2 more|arXiv (Cornell University)|May 25, 2023

Adversarial Robustness in Machine Learning被引用数 9

ひとこと要約

事前学習済みの拡散モデルを活用し、現実性/スタイル損失と敵対損失を分離することで、現実的で転用可能かつ制御可能な敵対的サンプルを生成する拡散誘導型勾配降下法（Diff-PGD）を提案する。

ABSTRACT

Neural networks are known to be susceptible to adversarial samples: small variations of natural examples crafted to deliberately mislead the models. While they can be easily generated using gradient-based techniques in digital and physical scenarios, they often differ greatly from the actual data distribution of natural images, resulting in a trade-off between strength and stealthiness. In this paper, we propose a novel framework dubbed Diffusion-Based Projected Gradient Descent (Diff-PGD) for generating realistic adversarial samples. By exploiting a gradient guided by a diffusion model, Diff-PGD ensures that adversarial samples remain close to the original data distribution while maintaining their effectiveness. Moreover, our framework can be easily customized for specific tasks such as digital attacks, physical-world attacks, and style-based attacks. Compared with existing methods for generating natural-style adversarial samples, our framework enables the separation of optimizing adversarial loss from other surrogate losses (e.g., content/smoothness/style loss), making it more stable and controllable. Finally, we demonstrate that the samples generated using Diff-PGD have better transferability and anti-purification power than traditional gradient-based methods. Code will be released in https://github.com/xavihart/Diff-PGD

研究の動機と目的

• 勾配法ベースの手法で生成される敵対的サンプルの現実性ギャップを動機づけ、対処する。
• 分布上の現実性を保持しつつ攻撃効果を維持する拡散モデル-guided最適化フレームワークを開発する。
• 地域マスクやスタイル誘導プロンプトなどのカスタマイズ機能を有効にし、制御可能な攻撃を実現する。
• 拡散ベースの敵対サンプルの移行性と浄化耐性の向上を実証する。
• デジタル、地域、スタイルベース、そして物理世界の攻撃への適用性を示す。

提案手法

• 入力の浄化版 x0 を敵対的損失へ入力として与えることで、摂動最適化を拡散モデルによりガイドする。
• 各反復で SDEdit を用いて標準 PGD の入力を x0 に置換し、摂動を自然データ分布に近づける。
• 現実性を保ちながら敵対的目的を最適化するDiff-PGD（地域攻撃には Diff-rPGD）を導入する。
• 敵対的損失をスタイル/現実性などの他の代替損失から分離し、安定性と制御性を向上させる。
• プロンプト（マスク、スタイル参照）によるカスタマイズ攻撃および Diff-Phys 変種を通じた物理世界攻撃へ拡張する。
• 効果を保ちながらメモリ/時間コストを削減する勾配近似技術による加速を提供する。

実験結果

リサーチクエスチョン

• RQ1 Diff-PGD は従来の PGD より高い現実性（ステルス性）を持つ敵対サンプルを生成できるか？
• RQ2 拡散ガイダンスは敵対サンプルの移行性と浄化対策耐性を向上させるか？
• RQ3 拡散ベースのフレームワークは地域制限、スタイル誘導、物理世界の敵対攻撃をより制御可能にサポートできるか？
• RQ4 デジタル、地域、カスタマイズ、物理的な攻撃において、Diff-PGD は PGD、AdvPatch、AdvCam とどう比較されるか？

主な発見

Methods	Stealthiness	Scenarios	Controllability	Anti-Purify	Transferability	Stability
PGD	**	D	*	*	*	**
AdvPatch	*	P	**	(-)	(-)	**
NatPatch	**	P	*	(-)	(-)	**
AdvArt	*	P	**	(-)	(-)	**
AdvCam	**	D/P	**	(-)	(-)	*
Diff-PGD (Ours)	**	D/P	**	**	**	**

• Diff-PGD は PGD よりステルス性が高い敵対サンプルを生成し、摂動はより滑らかで局所的依存性が高いように見える。
• Diff-PGD と Diff-rPGD はデジタル攻撃および地域攻撃において複数回の反復でより高い成功率を達成する。
• スタイル参照を用いたカスタマイズ攻撃は現実性を維持し、AdvCam ベースの手法より高いステルス性をもたらす。
• Diff-PGD とその変種は未知モデルへの移行性が高く、浄化モジュールに対する浄化耐性も向上する。
• 物理世界の攻撃では Diff-Phys がより滑らかで現実的なパッチを生成し、ターゲット物体を攻撃する。
• 定量的結果は、評価対象のモデル群において、移行性と浄化耐性の点で Diff-PGD がベースラインを上回ることを示している。