[論文レビュー] Staircase Sign Method for Boosting Adversarial Attacks

Qilong Zhang, Xiaosu Zhu+3 more|arXiv (Cornell University)|Apr 20, 2021

Adversarial Robustness in Machine Learning参考文献 38被引用数 6

ひとこと要約

本稿では、勾配の符号に分割的・適応的重みを割り当てることで、計算コストを増加させずに摂動の質を向上させることで、敵対的攻撃の転送性を向上させる新規な勾配操作手法であるStaircase Sign Method (S²M)を提案する。ImageNet上で評価したところ、S²Mは標準モデルでは転送性を5.1%、敵対的に訓練された防御機構では12.8%向上させ、白箱および黒箱設定の両方で、vanilla FGSMベースの手法を上回った。

ABSTRACT

Crafting adversarial examples for the transfer-based attack is challenging and remains a research hot spot. Currently, such attack methods are based on the hypothesis that the substitute model and the victim model learn similar decision boundaries, and they conventionally apply Sign Method (SM) to manipulate the gradient as the resultant perturbation. Although SM is efficient, it only extracts the sign of gradient units but ignores their value difference, which inevitably leads to a deviation. Therefore, we propose a novel Staircase Sign Method (S$^2$M) to alleviate this issue, thus boosting attacks. Technically, our method heuristically divides the gradient sign into several segments according to the values of the gradient units, and then assigns each segment with a staircase weight for better crafting adversarial perturbation. As a result, our adversarial examples perform better in both white-box and black-box manner without being more visible. Since S$^2$M just manipulates the resultant gradient, our method can be generally integrated into the family of FGSM algorithms, and the computational overhead is negligible. Extensive experiments on the ImageNet dataset demonstrate the effectiveness of our proposed methods, which significantly improve the transferability (i.e., on average, extbf{5.1\%} for normally trained models and extbf{12.8\%} for adversarially trained defenses). Our code is available at \url{https://github.com/qilong-zhang/Staircase-sign-method}.

研究の動機と目的

• 勾配の大きさの差を無視するため、転送ベースの敵対的攻撃において勾配推定が不十分になる原因となるSign Method (SM)の問題を解消すること。
• 代替モデルの勾配とボーダー・モデルの真の勾配方向の一致度を高めることで、代替モデルから黒ボックスのボーダー・モデルへの敵対的例の転送性を向上させること。
• 計算負荷を増加させずに攻撃成功率を向上させる手法を開発し、既存のFGSMファミリーのアルゴリズムへの統合を可能にすること。
• SMの制限が最適でない攻撃領域を生じさせ、グローバル最適な攻撃方向から逸脱することを実証的に検証すること。

提案手法

• S²Mは、勾配の符号を勾配要素の大きさに基づいて複数のセグメントに分割し、摂動方向に対する細かな制御を可能にする。
• 各セグメントには、対応する勾配の相対的な大きさを反映した階段状の重みが割り当てられ、ボーダー・モデルの真の勾配方向との整合性が向上する。
• この手法は符号に基づく摂動のみを変更するため、FGSM風の攻撃の効率性を保ち、既存のFGSMベースのフレームワークへのシームレスな統合を可能にする。
• 反復的アプローチであるI-FGS²M（I-FGSMの拡張版）を用いて反復的に適用し、計算コストを低く保つ。
• 階段状の重み割り当てはヒューリスティック的であり、データに依存し、勾配の大きさの分布に応じて動的に調整される。
• 本手法は、入力多様性、Poincaré損失、Patch-wise++などの既存の防御強化技術と互換性がある。

実験結果

リサーチクエスチョン

• RQ1 Sign法（SM）は、勾配の大きさの差を無視するため、転送ベースの攻撃において勾配推定が不十分になる原因となるか？
• RQ2 セグメント化され、大きさに配慮した符号関数は、代替モデルの勾配とボーダー・モデルの勾配の間の整合性を向上させることができるか？
• RQ3 提案されたStaircase Sign Method (S²M) は、ImageNet上でどれほど敵対的転送性を向上させるか？
• RQ4 S²Mは白箱および黒箱設定の両方で、標準的および敵対的に訓練されたモデルに対して、どのように性能を発揮するか？
• RQ5 S²Mは、計算コストをほとんど増加させずに、既存のFGSMベースの攻撃フレームワークに統合可能か？

主な発見

• S²Mは、通常訓練されたモデルでは平均で5.1%、敵対的に訓練された防御機構では12.8%の転送性向上を達成した。
• S²Mを用いることで、代替モデルの更新方向とボーダー・モデルの真の勾配とのコサイン類似度が平均で37.8%向上した。
• ターゲット攻撃においても、S²Mベースの手法は常にvanilla FGSMベースの手法を上回り、特に敵対的に訓練されたモデルでは成功率が最大12.8%向上した。
• 摂動予算（ε）が大きくなるほど、S²MとFGSMベースラインとの性能差が拡大し、特にε=12のとき顕著に顕在した。
• S²Mは、白箱設定において、I, MI, DI, TI, Po, PIのすべての攻撃バリエーションで、それぞれのvanilla FGSM対応手法を4.0%から9.8%上回った。
• 本手法は計算コストをほとんど増加させず、入力多様性やPoincaré空間損失といった既存の防御強化技術とも完全に互換性がある。