[論文レビュー] Stochastic Variance Reduced Ensemble Adversarial Attack for Boosting the Adversarial Transferability

Yifeng Xiong, Jiadong Lin+3 more|arXiv (Cornell University)|Nov 21, 2021

Adversarial Robustness in Machine Learning参考文献 36被引用数 8

ひとこと要約

本稿では、反復最適化中に複数のモデル間で勾配の分散を低減する、ブラックボックス敵対的攻撃手法としての Stochastic Variance Reduced Ensemble (SVRE) 攻撃を提案する。アンサンブル攻撃を確率的勾配降下法のプロセスとしてモデル化し、SVRGにインspiredされた分散低減を適用することで、敵対的転送性が向上し、ベースラインのアンサンブル手法と比較してImageNet上での攻撃成功率が著しく向上する。

ABSTRACT

The black-box adversarial attack has attracted impressive attention for its practical use in the field of deep learning security. Meanwhile, it is very challenging as there is no access to the network architecture or internal weights of the target model. Based on the hypothesis that if an example remains adversarial for multiple models, then it is more likely to transfer the attack capability to other models, the ensemble-based adversarial attack methods are efficient and widely used for black-box attacks. However, ways of ensemble attack are rather less investigated, and existing ensemble attacks simply fuse the outputs of all the models evenly. In this work, we treat the iterative ensemble attack as a stochastic gradient descent optimization process, in which the variance of the gradients on different models may lead to poor local optima. To this end, we propose a novel attack method called the stochastic variance reduced ensemble (SVRE) attack, which could reduce the gradient variance of the ensemble models and take full advantage of the ensemble attack. Empirical results on the standard ImageNet dataset demonstrate that the proposed method could boost the adversarial transferability and outperforms existing ensemble attacks significantly. Code is available at https://github.com/JHL-HUST/SVRE.

研究の動機と目的

• 異なるモデルアーキテクチャ間での高い勾配分散が、ブラックボックス攻撃における敵対的例の転送性を制限する要因であるという問題に取り組む。
• 分散低減技術を用いて最適化プロセスをモデル化することで、アンサンブルベースの敵対的攻撃の有効性を向上させる。
• 敵対的例生成中にアンサンブルモデルへの過剰適合を軽減することで、未知のモデルへの転送性を向上させる。
• 勾配分散がアンサンブル攻撃のパフォーマンスにおいて重要な要因であるが、しばしば見過ごされていることの実証。

提案手法

• SVRE攻撃は、アンサンブルモデルを外側のループにおけるバッチとして扱い、平均勾配推定を維持する。
• 内側のループでは、各反復でランダムに1つのモデルをサンプリングし、分散を低減した勾配更新を計算する。
• 内側のループでは、サンプリングされたモデルに対して外側のループの平均勾配を差し引くことで、バイアス補正された勾配推定を用いる。
• 内側ループの調整済み勾配を用いて外側の敵対的例を更新することで、収束性が向上し、局所最適解への陥落が軽減される。
• 既存の敵対的攻撃アルゴリズム（I-FGSM, MI-FGSM, SI-TI-DIMなど）と統合可能で、それらの転送性を向上させる。
• 内側ループの更新と外側ループの安定性のバランスを取ることで、アンサンブルへの過剰適合を回避し、未知のモデルへの一般化性を高める。

実験結果

リサーチクエスチョン

• RQ1 異なるモデルアーキテクチャ間での勾配分散が、アンサンブルベースの敵対的攻撃の転送性にどのように影響するか？
• RQ2 確率的最適化からインspiredされた分散低減技術が、ブラックボックス環境下での敵対的例のロバスト性と転送性を向上させ得るか？
• RQ3 アンサンブル攻撃における勾配分散の低減が、標準的なアンサンブル手法と比較して、未知のターゲットモデルにおけるパフォーマンス向上に寄与するか？
• RQ4 SVREの最適な内部更新頻度とステップサイズの設定は何か？

主な発見

• SVREはImageNetデータセットにおいて、標準的なアンサンブル攻撃を著しく上回り、ブラックボックス攻撃成功率が高くなる。
• SVREの最適な内部更新頻度 $ M $ は約16であり、それ以上になると過剰適合により性能が低下する。
• 最適な内部ステップサイズ $ \beta $ は攻撃タイプによって異なるが、$ \beta = 1.6 $ は複数の手法で優れた性能を示す。
• 9倍の勾配クエリを追加しても、標準的なアンサンブル攻撃はSVREのパフォーマンスを追いつけず、SVREの利点が単なるクエリ数の増加によるものでないことが証明される。
• SVREは白箱攻撃の成功率を維持しつつ、ブラックボックスの転送性を著しく向上させるため、アンサンブルへの過剰適合を避ける。
• アブレーションスタディにより、勾配分散低減がSVREの優れた転送性の背後にある主な要因であることが確認され、単なるクエリ予算の増加とは異なる。