[논문 리뷰] Enhancing the Transferability of Adversarial Attacks through Variance Tuning

Xiaosen Wang, Kun He|arXiv (Cornell University)|2021. 03. 29.

Adversarial Robustness in Machine Learning참고 문헌 36인용 수 26

한 줄 요약

논문은 그래디언트 기반의 반복적 적대적 예 공격에 분산 조정(variance tuning)을 도입해 전이성을 높이고, 특히 블랙박스 방어에 대해 효과를 보이되 화이트박스에서의 성공은 유지합니다. ImageNet에서의 강한 이득과 입력 변환 및 앙상블과 함께 입증됩니다.

ABSTRACT

Deep neural networks are vulnerable to adversarial examples that mislead the models with imperceptible perturbations. Though adversarial attacks have achieved incredible success rates in the white-box setting, most existing adversaries often exhibit weak transferability in the black-box setting, especially under the scenario of attacking models with defense mechanisms. In this work, we propose a new method called variance tuning to enhance the class of iterative gradient based attack methods and improve their attack transferability. Specifically, at each iteration for the gradient calculation, instead of directly using the current gradient for the momentum accumulation, we further consider the gradient variance of the previous iteration to tune the current gradient so as to stabilize the update direction and escape from poor local optima. Empirical results on the standard ImageNet dataset demonstrate that our method could significantly improve the transferability of gradient-based adversarial attacks. Besides, our method could be used to attack ensemble models or be integrated with various input transformations. Incorporating variance tuning with input transformations on iterative gradient-based attacks in the multi-model setting, the integrated method could achieve an average success rate of 90.1% against nine advanced defense methods, improving the current best attack performance significantly by 85.1% . Code is available at https://github.com/JHL-HUST/VT.

연구 동기 및 목표

• 그래디언트 기반 적대적 예의 전이성을 고무하고 개선한다, 특히 방어된(블랙박스) 모델에 대해.
• 반복 간의 그래디언트 업데이트를 안정화하기 위한 분산 조정 메커니즘을 제안한다.
• 입력 변환 및 앙상블 모델과 결합했을 때 분산 조정이 공격을 향상시킨다는 것을 보여준다.
• 제안된 방법이 화이트박스 성능을 유지하면서 블랙박스 성공률을 크게 증가시킨다는 것을 보인다.

제안 방법

• 현재 입력 주위를 이웃에서의 그래디언트 분산을 정의한다.
• 각 반복에서 모멘텀 단계 전의 이웃 분산 정보를 사용해 현재 그래디언트를 조정한다.
• 고정된 보폭으로 분산 조정된 그래디언트의 부호를 이용해 적대적 예제를 업데이트한다.
• NI-FGSM 및 DIM/TIM/SIM 입력 변환(CTM)에 접근법을 확장한다.
• 이웃에서 샘플링(N)을 사용해 그래디언트 분산을 근사하고 이웃 한계(beta)를 설정한다.
• 정규 학습 및 적대적 학습 모델에 대해 ImageNet에서 평가하며, 아홉 개의 방어 모델을 포함한다.

실험 결과

연구 질문

• RQ1 분산 조정이 보지 못한 모델이나 방어된 모델에 대한 반복적 그래디언트 기반 공격의 전이성을 개선할 수 있는가?
• RQ2 분산 조정의 하이퍼파라미터(이웃 크기 beta 및 샘플 수 N)가 전이성과 계산에 어떤 영향을 미치는가?

주요 결과

• 분산 조정 공격(VMI-FGSM/VNI-FGSM)은 흑박스 모델에서 기본 MI-FGSM/NI-FGSM보다 우수하고 화이트박스 성능은 높게 유지된다.
• 입력 변환(DIM/TIM/SIM)과의 결합은 전이성을 더욱 높이며, 특히 적대적 학습 모델에 대해 효과적이다.
• 앙상블 설정에서 분산 조정 공격은 기본보다 상당한 이득을 얻고, 고급 방어에 대해 뚜렷한 개선을 보인다.
• 아홉 개의 방어 모델에서 통합 방법은 다중 모델 설정에서 평균 성공률 90.1%를 달성하며, 기준보다 6.6% 포인트 높다.
• 소거 분석은 beta를 약 1.5, N을 약 20으로 설정하면 전이성과 계산 비용의 균형이 잘 맞는다는 것을 보여준다.