[論文レビュー] Meta-Learning the Search Distribution of Black-Box Random Search Based Adversarial Attacks

Maksym Yatsura, Jan Hendrik Metzen+1 more|arXiv (Cornell University)|Nov 2, 2021

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

本論文は、ブラックボックスのランダムサーチ敵対的攻撃における探索分布パラメータ（例えば、更新サイズや色サンプリング）を自動で最適化するメタラーニングフレームワーク、Meta Square Attack (MSA) を提案する。白ボックスモデル上で勾配ベースのコントローラーを訓練することにより、CIFAR10、CIFAR100、ImageNet などの多様なモデルやデータセット、および標的攻撃を含む攻撃設定において、クエリ効率性とロバストネス推定値を最大20%向上させる。

ABSTRACT

Adversarial attacks based on randomized search schemes have obtained state-of-the-art results in black-box robustness evaluation recently. However, as we demonstrate in this work, their efficiency in different query budget regimes depends on manual design and heuristic tuning of the underlying proposal distributions. We study how this issue can be addressed by adapting the proposal distribution online based on the information obtained during the attack. We consider Square Attack, which is a state-of-the-art score-based black-box attack, and demonstrate how its performance can be improved by a learned controller that adjusts the parameters of the proposal distribution online during the attack. We train the controller using gradient-based end-to-end training on a CIFAR10 model with white box access. We demonstrate that plugging the learned controller into the attack consistently improves its black-box robustness estimate in different query regimes by up to 20% for a wide range of different models with black-box access. We further show that the learned adaptation principle transfers well to the other data distributions such as CIFAR100 or ImageNet and to the targeted attack setting.

研究の動機と目的

• ブラックボックスのランダムサーチ敵対的攻撃における提案分布の手動チューニングやヒューリスティック設計の課題に対処すること。
• 適応的探索戦略を学習することで、ブラックボックス設定におけるクエリ効率性とロバストネス推定値を向上させること。
• 学習済みコントローラーの異なるモデル、データセット（例：CIFAR100、ImageNet）、攻撃タイプ（標的攻撃を含む）への転送性を可能にすること。
• メタトレーニング後、勾配アクセスなしの完全なブラックボックス設定でも有効な手法を開発すること。
• 学習済みコントローラーが複数のクエリ予算と脅威モデル（ℓ∞、ℓ2）において、手作業で設計されたスケジュールを上回ることを実証すること。

提案手法

• 探索分布パラメータ（例：更新サイズ、色サンプリング）の最適化を、攻撃パフォーマンスを適応的に向上させるメタラーニング問題として定式化すること。
• 敵対的訓練を施したResNet18を用いた白ボックスCIFAR10モデル上で、勾配ベースのエンドツーエンド最適化によりコントローラーを訓練すること。
• 攻撃中に提案分布を動的に調整するために、学習済みコントローラーを用い、先行研究の固定スケジュールに代わること。
• メタトレーニングフェーズ（白ボックスアクセスあり）と推論フェーズ（完全なブラックボックス）を分離し、勾配の誤魔化し問題を回避すること。
• メタトレーニング済みコントローラーを、RobustBenchのズーに含まれるさまざまなモデルに適用し、再トレーニングなしにブラックボックスアドバーセリーとして使用すること。
• 更新サイズ用（MSA_s）と色サンプリング用（MSA_c）の2つのコントローラーを導入し、攻撃成功確率を最大化するように訓練すること。

実験結果

リサーチクエスチョン

• RQ1 メタラーニングを用いてブラックボックスのランダムサーチ敵対的攻撃における探索分布を自動で最適化でき、手作業設計への依存を低減できるか？
• RQ2 異なるクエリ予算において、学習済みコントローラーのパフォーマンスは、手作業で設計されたスケジュール（例：Square Attack、AutoAttack）と比べてどうか？
• RQ3 メタラーニングされたコントローラーは、新しいモデル、データセット（例：CIFAR100、ImageNet）、標的攻撃設定へどの程度一般化できるか？
• RQ4 学習済み適応戦略は、ブラックボックス設定におけるロバストネス評価の正確性とクエリ効率性を向上させるか？
• RQ5 コントローラーは白ボックス設定でトレーニングされ、その後完全なブラックボックス攻撃シナリオで効果的に展開可能か？

主な発見

• Meta Square Attack (MSA) は、さまざまなクエリ予算とモデルにおいて、最先端のベースライン（Square Attack、AutoAttack）と比較して、ブラックボックスのロバストネス推定値を最大20%向上させる。
• 更新サイズ用のMSA_sコントローラーは、ブラックボックスアクセスを持つCIFAR10モデルにおいて、特に低予算環境で攻撃成功確率を最大5.6%向上させる。
• 色サンプリング用のMSA_cコントローラーは、均一サンプリング（p = 0.125）よりも黒・白のピクセルを好む（p ≈ 0.18）よう学習し、モデル固有の脆弱性を反映している。
• MSA_sとMSA_cの組み合わせは、ベースラインスケジュールを上回る一貫した改善をもたらし、500～5000のクエリ予算範囲で顕著な向上が観察される。
• MSAはCIFAR100およびImageNetに対しても効果的に一般化され、標的攻撃設定において、最先端のベースラインよりも最大20%高いロバスト精度を達成する。
• アブレーションスタディにより、MSA_sとMSA_cの両方がパフォーマンス向上に独立して寄与しており、特に攻撃初期段階でMSA_cの利点が顕著に現れる。