[논문 리뷰] Switching Transferable Gradient Directions for Query-Efficient Black-Box Adversarial Attacks

Chen Ma, Shuyu Cheng외 3명|arXiv (Cornell University)|2020. 09. 15.

Adversarial Robustness in Machine Learning참고 문헌 38인용 수 4

한 줄 요약

SWITCH는 쿼리 효율적인 블랙박스 적대적 공격을 제안하며, 대체 모델에서 유래한 이동 가능한 기울기를 활용하여 성능 저하가 발생할 경우 기울기 방향과 그 반대 방향을 동적으로 전환한다. 매우 적은 쿼리 수로 최신 기술 수준의 성공률을 달성하여, 특히 타겟 공격 및 방어 보호 설정에서 엄격한 쿼리 예산 하에서 뛰어난 성능을 보인다.

ABSTRACT

We propose a simple and highly query-efficient black-box adversarial attack named SWITCH, which has a state-of-the-art performance in the score-based setting. SWITCH features a highly efficient and effective utilization of the gradient of a surrogate model $\hat{\mathbf{g}}$ w.r.t. the input image, i.e., the transferable gradient. In each iteration, SWITCH first tries to update the current sample along the direction of $\hat{\mathbf{g}}$, but considers switching to its opposite direction $-\hat{\mathbf{g}}$ if our algorithm detects that it does not increase the value of the attack objective function. We justify the choice of switching to the opposite direction by a local approximate linearity assumption. In SWITCH, only one or two queries are needed per iteration, but it is still effective due to the rich information provided by the transferable gradient, thereby resulting in unprecedented query efficiency. To improve the robustness of SWITCH, we further propose SWITCH$_ ext{RGF}$ in which the update follows the direction of a random gradient-free (RGF) estimate when neither $\hat{\mathbf{g}}$ nor its opposite direction can increase the objective, while maintaining the advantage of SWITCH in terms of query efficiency. Experimental results conducted on CIFAR-10, CIFAR-100 and TinyImageNet show that compared with other methods, SWITCH achieves a satisfactory attack success rate using much fewer queries, and SWITCH$_ ext{RGF}$ achieves the state-of-the-art attack success rate with fewer queries overall. Our approach can serve as a strong baseline for future black-box attacks because of its simplicity. The PyTorch source code is released on https://github.com/machanic/SWITCH.

연구 동기 및 목표

• 기울기 추정에 의존하는 스코어 기반 블랙박스 공격의 높은 쿼리 복잡도 문제를 해결하기 위해.
• 대상 모델의 기울기가 필요 없이 대체 모델에서 유래한 이동 가능한 기울기를 활용하여 쿼리 효율성을 향상시키기 위해.
• 대체 기울기가 적대적 영역에서 멀어지게 되는 순간을 감지하고, 이를 기반으로 기울기 방향과 반대 방향으로 동적으로 전환하기 위해.
• 기울기 기반 업데이트와 무작위 기울기 없는(RGF) 백업을 조합하여 방어 모델에 대한 강건성을 향상시키기 위해.
• 미래의 블랙박스 공격 연구를 위한 단순하면서도 효과적인 기준을 설정하기 위해.

제안 방법

• 각 반복 단계에서 SWITCH는 먼저 ℓp 정규화된 대체 기울기 $ar{oldsymbol{g}}$ 방향으로 적대적 예제를 업데이트한다.
• 만약 $ar{oldsymbol{g}}$ 방향으로 한 스텝을 이동한 후 공격 목적(손실)이 증가하지 않으면, SWITCH는 잘못된 업데이트를 방지하기 위해 반대 방향 $-ar{oldsymbol{g}}$로 전환한다.
• 이러한 전환 결정은 딥 네ural 네트워크의 局소 근사 선형성 가정에 의해 정당화된다.
• 이 방법은 각 반복에 단 한 번 또는 두 번의 쿼리만 사용한다—$oldsymbol{x}_{ ext{adv}} + heta ar{oldsymbol{g}}$에서 손실을 평가하기 위한 하나의 쿼리와, 선택적으로 $oldsymbol{x}_{ ext{adv}} - heta ar{oldsymbol{g}}$에서의 쿼리.
• SWITCH${}_{ ext{RGF}}$는 $ar{oldsymbol{g}}$와 $-ar{oldsymbol{g}}$가 모두 손실 향상을 이룰 수 없을 경우, 랜덤 기울기 없는(RGF) 추정치를 사용하여 방법을 확장한다.
• 이 접근법은 높은 쿼리 효율성을 유지하면서도, 타겟 공격 및 방어 모델과 같은 도전적인 설정에서 강건성을 향상시킨다.

실험 결과

연구 질문

• RQ1 대체 기울기 방향과 그 반대 방향 사이에서 동적으로 전환하는 것이 블랙박스 공격의 쿼리 효율성을 향상시키는가?
• RQ2 국소 근사 선형성 가정이 적대적 공격의 방향 전환을 안내하는 데 얼마나 효과적인가?
• RQ3 기울기 기반 업데이트와 랜덤 기울기 없는(RGF) 업데이트를 조합한 하이브리드 전략이 쿼리 효율성을 희생시키지 않고도 성공률을 추가로 향상시킬 수 있는가?
• RQ4 SWITCH는 매우 제한된 쿼리 예산 하에서, 특히 타겟 공격 및 방어 보호 설정에서 어떻게 성능을 발휘하는가?
• RQ5 단순한 기울기 기반 방법이 복잡한 무작위 탐색 기반 공격보다 쿼리 효율성과 성공률 면에서 뛰어나게 성능을 내는가?

주요 결과

• SWITCH는 WRN-40를 사용하여 CIFAR-10에서 단 365개의 쿼리로 92.5%의 타겟되지 않은 공격 성공률을 달성했으며, 동일한 쿼리 예산 하에서 이전 방법들을 능가했다.
• CIFAR-10에서 타겟 $oldsymbol{ ext{ℓ}}_2$ 공격의 경우, 1,000개 이내의 쿼리로 가장 높은 성공률(74.7%)을 기록하여 초기 수렴 속도가 매우 빠르다는 것을 입증했다.
• SWITCH${}_{ ext{RGF}}$는 RGF 대비 최대 50%의 쿼리 소비를 줄였으며, 특히 방어 보호 설정에서 더 높은 성공률을 달성했다.
• 방어 모델(ComDefend, Feature Distillation, JPEG)에 대해 SWITCH는 ComDefend에 대해 가장 높은 성공률를 기록했고, Feature Distillation에선 SOTA 수준의 결과를 달성했다.
• Square Attack와 같은 랜덤 탐색 기반 공격보다 빠른 수렴 속도를 보이며, 특히 쿼리 예산이 극도로 제한된 경우(예: 1,000 이하) 매우 효과적이다.
• 단순함에도 불구하고, CIFAR-10, CIFAR-100, TinyImageNet를 포함한 여러 벤치마크에서 SWITCH는 쿼리 효율성과 성공률 면에서 새로운 SOTA를 수립했다.