[논문 리뷰] Progressive-Scale Boundary Blackbox Attack via Projective Gradient Estimation

Jiawei Zhang, Linyi Li외 4명|arXiv (Cornell University)|2021. 06. 10.

Adversarial Robustness in Machine Learning참고 문헌 35인용 수 5

한 줄 요약

이 논문은 공간, 주파수 및 스펙트럼 도메인에서 점진적으로 최적의 투영 스케일을 탐색함으로써 경계 기반 블랙박스 공격에서의 기울기 추정을 향상시키는 쿼리 효율적인 방법인 프로그레시브 스케일 경계 블랙박스 공격(PSBA)을 제안한다. 최적 스케일의 존재를 증명하는 이론적 프레임워크를 활용하고 프로그레시브-GAN을 사용해 스케일 최적화를 수행함으로써, MNIST, CIFAR-10, CelebA, ImageNet 및 실세계의 얼굴 인식 API를 포함한 다양한 데이터셋과 모델에서 공격 성공률을 유지하면서도 쿼리 수를 크게 감소시킨다.

ABSTRACT

Boundary based blackbox attack has been recognized as practical and effective, given that an attacker only needs to access the final model prediction. However, the query efficiency of it is in general high especially for high dimensional image data. In this paper, we show that such efficiency highly depends on the scale at which the attack is applied, and attacking at the optimal scale significantly improves the efficiency. In particular, we propose a theoretical framework to analyze and show three key characteristics to improve the query efficiency. We prove that there exists an optimal scale for projective gradient estimation. Our framework also explains the satisfactory performance achieved by existing boundary black-box attacks. Based on our theoretical framework, we propose Progressive-Scale enabled projective Boundary Attack (PSBA) to improve the query efficiency via progressive scaling techniques. In particular, we employ Progressive-GAN to optimize the scale of projections, which we call PSBA-PGAN. We evaluate our approach on both spatial and frequency scales. Extensive experiments on MNIST, CIFAR-10, CelebA, and ImageNet against different models including a real-world face recognition API show that PSBA-PGAN significantly outperforms existing baseline attacks in terms of query efficiency and attack success rate. We also observe relatively stable optimal scales for different models and datasets. The code is publicly available at https://github.com/AI-secure/PSBA.

연구 동기 및 목표

• 고차원 이미지 데이터에 대한 경계 기반 블랙박스 공격의 높은 쿼리 비용을 해결하기 위해.
• 투영 스케일이 블랙박스 공격에서 기울기 추정 정확도와 쿼리 효율성에 미치는 영향을 조사하기 위해.
• 일반적인 비선형 투영 함수 하에서 투영 기반 기울기 추정을 분석하기 위한 이론적 프레임워크를 개발하기 위해.
• 적응적으로 최적의 투영 부분공간을 탐색해 효율성을 향상시키는 점진적 스케일 공격 방법을 설계하기 위해.
• 다양한 모델과 데이터셋에서 안정적이고 최적의 스케일이 존재하는지 경험적으로 검증하기 위해.

제안 방법

• 투영 기반 경계 공격에서의 기울기 추정을 분석하는 이론적 프레임워크를 제안하며, 추정된 기울기와 진짜 기울기 간의余弦 유사도에 대한 기대값과 농도 경계를 유도한다.
• 더 날카운 기울기 추정을 위해 세 가지 핵심 특성을 규명한다: 낮은 투영 부분공간 차원수, 진짜 기울기의 높은 투영 길이, 투영된 기울기 방향에 대한 높은 민감도.
• 차원수와 투영된 기울기 길이 사이의 상충 관계를 균형 잡는 최적의 부분공간 차원수(즉, 최적의 스케일)가 존재함을 증명한다.
• 프로그레시브-GAN을 사용해 공간, 주파수 및 스펙트럼 도메인에서 최적의 스케일을 점진적으로 탐색하는 PSBA를 도입한다.
• 다양한 스케일에 적용: 공간 해상도(예: 28×28, 56×56), 저통과 필터의 주파수 임계값, 주성분 분석 성분 수(스펙트럼 스케일).
• 이중 단계 프로세스를 활용: 경계 점을 찾기 위한 이진 탐색, 그 다음에 샘플링된 변형을 원래 공간으로 복원해 투영 기반 기울기 추정을 수행한다.

실험 결과

연구 질문

• RQ1 경계 기반 블랙박스 공격에서 투영 기반 기울기 추정에 대한 최적의 스케일은 무엇인가?
• RQ2 부분공간 차원수, 투영된 기울기 길이, 방향 민감도는 기울기 추정 정확도에 어떤 영향을 미치는가?
• RQ3 최적의 스케일이 존재하는가, 그리고 다양한 모델과 데이터셋에서 안정적인가?
• RQ4 점진적 스케일링 기법은 공격 성공률을 희생시키지 않고 쿼리 효율성을 향상시킬 수 있는가?
• RQ5 PSBA는 기존 최첨단 경계 공격 기법들에 비해 쿼리 효율성과 내성 면에서 어떻게 비교되는가?

주요 결과

• 최적의 스케일은 다양한 모델과 데이터셋에서 경험적으로 안정적이며, 대부분의 모델에서 28×28 공간 해상도가 최적임을 확인했다.
• MNIST, CIFAR-10, CelebA 및 ImageNet에서 PSBA-PGAN은 HSJA, QEBA, NonLinear-BA, EA 및 Sign-OPT와 같은 기준 공격 대비 유의미하게 낮은 쿼리 수를 기록했다.
• ImageNet 및 실세계의 얼굴 인식 API에서 PSBA-PGAN은 최첨단 기법들 대비 최대 50%의 쿼리 수 감소를 이끌었으며, 높은 공격 성공률를 유지했다.
• 추정된 기울기와 진짜 기울기 간의余弦 유사도가 최적 스케일에서 최고로 높아지며, 해당 스케일에서 더 날카운 기울기 추정이 이루어짐을 확인했다.
• 이론적 분석을 통해 부분공간 내 진짜 기울기의 투영 길이를 최대화하면 쿼리 효율성이 향상됨을 확인했으며, 이는 PSBA의 핵심 설계 원리가 타당함을 검증했다.
• 최적의 스케일은 ResNet, VGG, DenseNet 및 배치 정규화를 포함한 모델 아키텍처 전반에서 안정적이며, 이는 연구 결과의 일반화 가능성에 기여한다.