[논문 리뷰] Attacking deep networks with surrogate-based adversarial black-box methods is easy

Nicholas A. Lord, Romain Mueller외 1명|arXiv (Cornell University)|2022. 03. 16.

Adversarial Robustness in Machine Learning인용 수 10

한 줄 요약

이 논문은 공격 대상 네트워크에 대한 기울기 전이 기반의 단순하면서도 매우 효과적인 블랙박스 적대적 공격인 GFCS를 소개한다. 이는 사전 모델의 기울기 방향을 공격 대상 모델로 전이하여 사용하며, 필요에 따라 공이미지 샘플링으로 대체한다. VGG-16을 대상으로 ResNet-152를 사전 모델로 사용할 때 ImageNet에서 6회의 중앙 쿼리 수로 99.9%의 성공률을 달성한다.

ABSTRACT

A recent line of work on black-box adversarial attacks has revived the use of transfer from surrogate models by integrating it into query-based search. However, we find that existing approaches of this type underperform their potential, and can be overly complicated besides. Here, we provide a short and simple algorithm which achieves state-of-the-art results through a search which uses the surrogate network's class-score gradients, with no need for other priors or heuristics. The guiding assumption of the algorithm is that the studied networks are in a fundamental sense learning similar functions, and that a transfer attack from one to the other should thus be fairly "easy". This assumption is validated by the extremely low query counts and failure rates achieved: e.g. an untargeted attack on a VGG-16 ImageNet network using a ResNet-152 as the surrogate yields a median query count of 6 at a success rate of 99.9%. Code is available at https://github.com/fiveai/GFCS.

연구 동기 및 목표

• 기존의 사전 모델 기반 블랙박스 공격 방법의 비효율성과 복잡성을 해결하기 위해.
• 사전 모델에서의 기울기 전이가 최소한의 쿼리 사용으로도 성공적인 블랙박스 공격을 이끌 수 있는지 조사하기 위해.
• 동일한 평가 조건에서 최신 기술을 능가하는 최소한의 알고리즘을 개발하기 위해.
• 딥 네트워크가 유사한 특징 표현을 학습하기 때문에 다양한 아키텍처 간에 고정밀도 기울기 전이가 가능하다는 가설을 검증하기 위해.

제안 방법

• 이 방법은 기울기 기반 최적화 과정에서 사전 모델의 기울기 방향을 주요 탐색 방향으로 사용한다.
• 고정된 스텝 크기 ε를 사용하는 간단한 선형 탐색을 통해 입력 이미지를 반복적으로 변형한다.
• 기울기 전이가 실패할 경우, 사전 모델의 특징 공간에서 샘플링하여 다른 탐색 방향을 생성하는 공이미지 샘플링으로 대체한다.
• 공격은 점수 기반이며, 공격 대상 모델의 클래스 점수에 접근 가능하므로 전체 모델에 대한 접근 없이도 수치적 기울기 추정이 가능하다.
• 알고리즘은 매우 단순하게 설계되었으며, 조정 가능한 하이퍼파rameter가 하나뿐이자(스텝 크기 ε), 추가적인 사전 지식, 히우리스틱, 또는 복잡한 최적화 기법이 필요하지 않다.

실험 결과

연구 질문

• RQ1 단순한 사전 모델 기반 기울기 전이가 최소한의 쿼리로 최신 기술 수준의 성능을 달성할 수 있는가?
• RQ2 실제 환경에서 복잡한 쿼리 기반 최적화 전략에 비해 직접적인 기울기 전이의 효과는 어느 정도인가?
• RQ3 다양한 딥 네트워크가 유사한 특징 표현을 얼마나 공유하는가? 이는 고정밀도 기울기 전이를 가능하게 하는가?
• RQ4 기울기 전이가 실패할 경우 공이미지 샘플링이 성공률을 유지하는 데 효과적인 피로드백 메커니즘으로 기능할 수 있는가?
• RQ5 단순한 기울기 전이와 최소한의 히우리스틱 조합이 더 복잡한 다단계 공격 프레임워크를 능가하는 데 충분한가?

주요 결과

• GFCS는 VGG-16을 대상으로 ResNet-152를 사전 모델로 사용할 때 ImageNet에서 무자신 공격에서 99.9%의 성공률을 기록했으며, 중앙 쿼리 수는 단 6회였다.
• SimBA 및 기타 쿼리 기반 공격과 같은 경쟁 기법들보다 동일한 실험 조건에서 모두 뛰어난 성능을 보였다.
• 공격의 성공은 주로 사전 모델에서의 직접적인 기울기 전이에 의해 이끌어지며, 공이미지 샘플링은 실패를 방지하는 데 보조적이지만 핵심적인 역할을 한다.
• 알고리즘의 성능은 다양한 사전 모델-대상 모델 조합에서도 뛰어나, 딥 네트워크가 종종 유사한 특징 표현을 학습한다는 것을 시사한다.
• 하나의 하이퍼파rameter(스텝 크기)만 필요하고 복잡한 사전 지식이 없는 이론적 단순성에도 불구하고 높은 성능을 달성함으로써, 높은 성능을 내기 위해 알고리즘의 복잡성이 필수적인 것은 아님을 보여준다.
• 기타 방법에서의 기본 하이퍼파rameter를 그대로 사용할 경우에도 GFCS는 뛰어난 성능을 보였으며, 특히 하이퍼파라미터를 조정한 경우(예: SimBA-ODS의 ε = 2.0)에 더욱 두드러진 성능 향상을 보였다.