[論文レビュー] RED-Attack: Resource Efficient Decision based Attack for Machine Learning

Faiq Khalid, Hassan Ali+4 more|arXiv (Cornell University)|Jan 29, 2019

Adversarial Robustness in Machine Learning参考文献 14被引用数 13

ひとこと要約

本稿では、分類境界を推定するために半区間探索を用い、不顕著性を向上させるための適応的摂動最適化を採用する、リソース効率の高い意思決定ベースの敵対的攻撃であるRED-Attackを提案する。CIFAR-10およびGTSRデータセットにおいて1,000クエリ制限下で、ベースラインの意思決定ベース攻撃と比較して、摂動ノルムを96.1%低減し、構造的類似性スコアを71.7%向上させ、元の画像との相関係数を203%向上させた。

ABSTRACT

Due to data dependency and model leakage properties, Deep Neural Networks (DNNs) exhibit several security vulnerabilities. Several security attacks exploited them but most of them require the output probability vector. These attacks can be mitigated by concealing the output probability vector. To address this limitation, decision-based attacks have been proposed which can estimate the model but they require several thousand queries to generate a single untargeted attack image. However, in real-time attacks, resources and attack time are very crucial parameters. Therefore, in resource-constrained systems, e.g., autonomous vehicles where an untargeted attack can have a catastrophic effect, these attacks may not work efficiently. To address this limitation, we propose a resource efficient decision-based methodology which generates the imperceptible attack, i.e., the RED-Attack, for a given black-box model. The proposed methodology follows two main steps to generate the imperceptible attack, i.e., classification boundary estimation and adversarial noise optimization. Firstly, we propose a half-interval search-based algorithm for estimating a sample on the classification boundary using a target image and a randomly selected image from another class. Secondly, we propose an optimization algorithm which first, introduces a small perturbation in some randomly selected pixels of the estimated sample. Then to ensure imperceptibility, it optimizes the distance between the perturbed and target samples. For illustration, we evaluate it for CFAR-10 and German Traffic Sign Recognition (GTSR) using state-of-the-art networks.

研究の動機と目的

• 自律走行車両のようなリアルタイムでリソースが制限されるシステムに不適切な、10,000回以上のクエリを要する既存の意思決定ベース攻撃の高いクエリコストを低減すること。
• モデルの確率出力を一切使用せず、厳密なクエリ制限下で不顕著な敵対的サンプルを生成する手法の開発。
• 最終的な分類ラベルのみが利用可能なブラックボックス環境（脅威モデルIII）において、収束速度と摂動品質の両方を向上させること。
• 確率分布が防御によって隠蔽される状況において、確率ベースの攻撃が無効となる状況でも効果的な攻撃を可能にすること。

提案手法

• ターゲット画像と他のクラスからランダムに選択された画像を用いて、分類境界上の点を推定する半区間探索に基づくアルゴリズムを提案する。
• 境界推定サンプルの画素に小さな適応的摂動を適用することで敵対的サンプルを生成する最適化フレームワークを導入する。
• 摂動画像と元の元画像との間のL2ノルムを最小化する距離最適化メカニズムを採用し、不顕著性を保証する。
• 境界探索中に二分探索戦略を用いてクエリのオーバーヘッドを低減し、収束を加速する。
• 攻撃プロセス中にハイパーパrameter（θ, n, δ_min）を動的に調整することで収束性とロバストネスを向上させる。
• 冗長なクエリを回避するため、高影響度の画素変更に焦点を当てたクエリ効率の良い更新メカニズムを採用する。

実験結果

リサーチクエスチョン

• RQ1 既存手法と比較して、はるかに少ないクエリ数で高品質な敵対的サンプルを生成できる意思決定ベース攻撃は可能か？
• RQ2 提案手法の半区間探索戦略は、ランダム探索に比べて収束速度とクエリ効率でどのように優れているか？
• RQ3 提案された最適化フレームワークは、限られたクエリ予算下でSSIMや相関係数といった不顕著性指標をどの程度向上できるか？
• RQ4 本攻撃は、CIFAR-10やGTSRのような多様なデータセットやモデルアーキテクチャ、特にGTSRのような安全を重視するベンチマークでも有効性を維持できるか？

主な発見

• 最大1,000クエリの制限下で、RED-AttackはCIFAR-10およびGTSRにおいてベースラインの意思決定ベース攻撃と比較して摂動ノルムを96.1%低減した。
• RED-Attackが生成した敵対的サンプルの構造的類似性指数（SSI）は、ベースライン比で71.7%向上し、視覚的忠実度が高くなったことを示している。
• 同じクエリ制限下で、敵対的サンプルと元の画像との相関係数は203%向上し、元の入力との類似性が強くなったことが確認された。
• RED-Attackは、CIFAR-10およびGTSRの両方のデータセットで、1,000クエリの予算内に全テスト画像に対して誤分類される敵対的サンプルを正常に生成できた。
• GTSRBではCIFAR-10よりも収束が速く、これはGTSRBにクラス数が多いことにより、最適化に向けたより多くの方向性の手がかりが得られるためと推定される。
• 無制限のクエリ数を許容する場合、意思決定ベース攻撃は最終的にRED-Attackを上回るが、リアルタイムシステムに不可欠なクエリ制限環境下では、RED-Attackが優位に立っている。