[논문 리뷰] Boundary Attack++: Query-Efficient Decision-Based Adversarial Attack.

Jianbo Chen, Michael I. Jordan|arXiv (Cornell University)|2019. 04. 03.

Adversarial Robustness in Machine Learning인용 수 29

한 줄 요약

Boundary Attack++는 $L_2$ 및 $L_\infty$ 변형에 대해 최적화할 수 있도록 경계에서 기울기 방향을 이진 결정 피드백을 사용해 추정하는 쿼리 효율적인 의사결정 기반 적대적 공격을 제안한다. 기존 방법에 비해 쿼리 수를 크게 줄였으며, 적대적으로 훈련된 MNIST 모델에 대해 최신 백색 상자 공격을 능가한다.

ABSTRACT

Decision-based adversarial attack studies the generation of adversarial examples that solely rely on output labels of a target model. In this paper, decision-based adversarial attack was formulated as an optimization problem. Motivated by zeroth-order optimization, we develop Boundary Attack++, a family of algorithms based on a novel estimate of gradient direction using binary information at the decision boundary. By switching between two types of projection operators, our algorithms are capable of optimizing $L_2$ and $L_\infty$ distances respectively. Experiments show Boundary Attack++ requires significantly fewer model queries than Boundary Attack. We also show our algorithm achieves superior performance compared to state-of-the-art white-box algorithms in attacking adversarially trained models on MNIST.

연구 동기 및 목표

• 모델 레이블에만 의존하는 더 쿼리 효율적인 의사결정 기반 적대적 공격을 개발하는 것.
• 기존 경계 공격 방법이 높은 쿼리 수가 필요로 하는 한계를 해결하는 것.
• 통합 프레임워크를 사용해 $L_2$ 및 $L_\infty$ 변형 노름에 대한 최적화를 가능하게 하는 것.
• 더 강력한 표준 공격에 저항하는 적대적으로 훈련된 모델에 대한 성능을 향상시키는 것.

제안 방법

• 제로차수 최적화에서 영감을 얻어, 의사결정 경계에서 모델 예측의 이진 정보를 사용해 기울기 방향을 추정한다.
• $L_2$ 및 $L_\infty$ 거리 최적화를 별도로 수행하기 위해 두 가지 다른 투영 연산자를 사용한다. 이는 적응형 변형 탐색을 가능하게 한다.
• 현재 변형 노름에 따라 투영 유형을 동적으로 전환하여 수렴을 향상시킨다.
• 기울기 접근 없이 레이블 쿼리만을 사용해 공격를 최적화 문제로 공식화한다.
• 모델 기울기나 로짓에 접근하지 않고도 기울기 방향을 근사하기 위해 새로운 이진 피드백 메커니즘을 활용한다.

실험 결과

연구 질문

• RQ1 기존 방법에 비해 상당히 낮은 쿼리 복잡도를 달성할 수 있는 의사결정 기반 적대적 공격가능한가?
• RQ2 동일한 프레임워크를 사용해 $L_2$ 및 $L_\infty$ 변형을 효과적으로 최적화할 수 있는가?
• RQ3 제안된 방법이 적대적으로 훈련된 모델에 대해 최신 백색 상자 공격을 능가하는가?
• RQ4 이진 결정 피드백만으로도 효과적인 적대적 예제 생성을 위한 충분한 기울기 추정이 가능한가?

주요 결과

• Boundary Attack++는 원래 Boundary Attack에 비해 모델 쿼리 요구량을 상당히 줄였다.
• 적대적으로 훈련된 MNIST 모델에 대해 최신 백색 상자 공격보다 뛰어난 공격 성공률를 달성했다.
• 단일이고 적응형 프레임워크를 사용해 $L_2$ 및 $L_\infty$ 변형을 성공적으로 최적화했다.
• 이진 피드백의 사용으로 모델 기울기나 로짓에 접근하지 않고도 효과적인 기울기 추정이 가능했다.