[論文レビュー] Nonlinear Projection Based Gradient Estimation for Query Efficient Blackbox Attacks

Huichen Li, Linyi Li+4 more|arXiv (Cornell University)|Feb 25, 2021

Adversarial Robustness in Machine Learning参考文献 28被引用数 4

ひとこと要約

本稿では、非線形投影を用いた深層生成モデル（VAEs、GANs、オートエンコーダー）により低次元空間で勾配を推定する、クエリ効率の良いブラックボックス敵対的攻撃NonLinear-BAを提案する。理論的分析を通じてコサイン類似度の上限とクエリの複雑さを評価し、ImageNet、CIFAR-10、MNIST、CelebAにおいて、最先端の手法と比較してはるかに少ないクエリ数と小さな摂動で100%の攻撃成功率を達成した。また、商用のMEGVII Face++ APIに対しても同様の効果を示した。

ABSTRACT

Gradient estimation and vector space projection have been studied as two distinct topics. We aim to bridge the gap between the two by investigating how to efficiently estimate gradient based on a projected low-dimensional space. We first provide lower and upper bounds for gradient estimation under both linear and nonlinear projections, and outline checkable sufficient conditions under which one is better than the other. Moreover, we analyze the query complexity for the projection-based gradient estimation and present a sufficient condition for query-efficient estimators. Built upon our theoretic analysis, we propose a novel query-efficient Nonlinear Gradient Projection-based Boundary Blackbox Attack (NonLinear-BA). We conduct extensive experiments on four image datasets: ImageNet, CelebA, CIFAR-10, and MNIST, and show the superiority of the proposed methods compared with the state-of-the-art baselines. In particular, we show that the projection-based boundary blackbox attacks are able to achieve much smaller magnitude of perturbations with 100% attack success rate based on efficient queries. Both linear and nonlinear projections demonstrate their advantages under different conditions. We also evaluate NonLinear-BA against the commercial online API MEGVII Face++, and demonstrate the high blackbox attack performance both quantitatively and qualitatively. The code is publicly available at https://github.com/AI-secure/NonLinear-BA.

研究の動機と目的

• 低次元部分空間からのベクトル空間への投影が勾配推定の質に与える影響を分析することで、勾配推定とベクトル空間への投影を統合すること。
• 線形および非線形投影の下で、推定された勾配と真の勾配の間のコサイン類似度の理論的上限を導出すること。
• 投影ベースの手法によるクエリ効率の良い勾配推定を実現するための十分条件を同定すること。
• 非線形投影を活用した実用的でクエリ効率の良いブラックボックス攻撃フレームワークを開発すること。
• 多様なデータセットおよび実世界のAPI（MEGVII Face++を含む）に対して、本手法の実験的妥当性を検証すること。

提案手法

• 低次元部分空間から元の勾配空間へのベクトル空間への投影による勾配推定の一般枠組みを提案する。
• サンプリングされた潜在変数を高次元の摂動方向にマッピングする非線形投影関数として、深層生成モデル（VAEs、GANs、オートエンコーダー）を用いる。
• ターゲットモデルへのクエリを用いたモンテカルロ勾配推定を実施し、摂動は投影された方向に基づいて生成する。
• テイラー展開とサンプリング分布の分析を用いて、推定された勾配と真の勾配の間のコサイン類似度を分析し、理論的上限を導出する。
• 推定の質を評価するためのプロキシ指標ωを導入し、予測と勾配方向の符号が一致しない摂動の割合を測定する。
• 境界攻撃の設定において本手法を適用し、クエリ数と摂動の大きさを最小限に抑えながら、段階的に敵対的例を改善する。

実験結果

リサーチクエスチョン

• RQ1 低次元部分空間からの投影を用いて勾配推定を効果的に行うことは可能か？ また、推定の質に関する理論的上限は何か？
• RQ2 線形投影と比較して、非線形投影は推定勾配と真の勾配のコサイン類似度の下限をどのように改善するか？
• RQ3 投影ベースの勾配推定においてクエリ効率を確保する条件は何か？ また、それらの条件はどのように確認できるか？
• RQ4 非線形投影に基づく勾配推定は、より少ないクエリ数と小さな摂動で効率的なブラックボックス攻撃を実現できるか？
• RQ5 本手法は、MEGVII Face++のような実世界の商用APIに対しても有効に機能するか？

主な発見

• NonLinear-BAは、ImageNet、CelebA、CIFAR-10、MNISTにおいて、最先端のベースラインと比較してはるかに少ないクエリ数で100%の攻撃成功率を達成した。
• 本手法は、MSEで測定した摂動の大きさがベースラインよりも小さい敵対的例を生成しており、これはより目立たない（人間が認識しにくい）ことを示している。
• 特定の条件下では、非線形投影が線形投影よりもコサイン類似度の下限を高めることが示され、理論的に優位性を示した。
• プロキシ指標ωは、ImageNet、CIFAR-10、MNISTにおいてコサイン類似度と強い負の相関を示しており、推定の質を評価する指標としての有効性が裏付けられた。
• MEGVII Face++ APIに対する実験結果は、画像ペアの多様性にかかわらず、定量的・定性的に高い攻撃効果を示した。
• 理論的分析により、非線形投影は線形投影よりも厳密に高いコサイン類似度の下限を達成できることを確認し、より良い推定の基盤が得られた。