[논문 리뷰] Yet another but more efficient black-box adversarial attack: tiling and evolution strategies

Laurent Meunier, Jamal Atif외 1명|arXiv (Cornell University)|2019. 10. 05.

Adversarial Robustness in Machine Learning참고 문헌 45인용 수 20

한 줄 요약

이 논문은 $ε$-볼 제약 조건이 있는 공격을 위해 특화된 새로운 목적 함수를 사용하는 비도함수 최적화(DFO) 기반의 새로운 블랙박스 적대적 공격 프레임워크를 제안한다. 타일링 전략과 CMA-ES와 같은 고급 진화 전략을 조합함으로써, 이 방법은 최신 기술 수준(SOTA)의 성능을 달성한다—비대상 공격의 경우 최대 90개의 쿼리 감소, 대상 공격의 경우 800개 감소하며, InceptionV3에 대해 평균 630개의 쿼리로 99.2%의 성공률에 도달한다.

ABSTRACT

We introduce a new black-box attack achieving state of the art performances. Our approach is based on a new objective function, borrowing ideas from $\ell_\infty$-white box attacks, and particularly designed to fit derivative-free optimization requirements. It only requires to have access to the logits of the classifier without any other information which is a more realistic scenario. Not only we introduce a new objective function, we extend previous works on black box adversarial attacks to a larger spectrum of evolution strategies and other derivative-free optimization methods. We also highlight a new intriguing property that deep neural networks are not robust to single shot tiled attacks. Our models achieve, with a budget limited to $10,000$ queries, results up to $99.2\%$ of success rate against InceptionV3 classifier with $630$ queries to the network on average in the untargeted attacks setting, which is an improvement by $90$ queries of the current state of the art. In the targeted setting, we are able to reach, with a limited budget of $100,000$, $100\%$ of success rate with a budget of $6,662$ queries on average, i.e. we need $800$ queries less than the current state of the art.

연구 동기 및 목표

• 기존 방법보다 더 적은 쿼리 수로 작동하는 더 효율적인 블랙박스 적대적 공격을 개발하기 위해.
• 오직 로짓만 접근 가능할 때, 기울기나 모델 아키텍처를 알 수 없는 블랙박스 공격의 과제를 해결하기 위해.
• 적대적 공격 생성에서 비도함수 최적화(DFO) 방법의 성능을 탐색하고 최적화하기 위해.
• 단일 스타일 타일링 공격에 대한 딥 네URAL 네트워크의 강건성을 조사하여, 이전에 관측되지 않은 취약성을 드러내기 위해.
• 강력한 방어 기반인 적대적으로 훈련된 모델에 대한 제안된 공격의 효과성을 평가하기 위해.

제안 방법

• 비도함수 최적화를 위해 특별히 설계된 새로운 목적 함수를 제안하며, $ε$-제약 조건이 있는 $∞$-노름 화이트박스 공격에서 영감을 얻었다.
• 편향 공간을 더 작고 다룰 수 있는 타일로 나누는 타일링 전략을 도입하여, 탐색 효율성과 성공률을 향상시켰다.
• Nevergrad 프레임워크 내에서 CMA-ES, DiagonalCMA, 코시(1+1)-ES, 이산 최적화를 포함한 다양한 DFO 방법을 활용하였다.
• 연속적($\mathrm{DFO}_c$) 및 이산적($\mathrm{DFO}_d$) 최적화 문제의 공식화를 통해 서로 다른 탐색 공간을 탐색하였다.
• 편향 노름($\epsilon = 0.05$)과 쿼리 예산 제한을 통제하면서, 비대상 및 대상 설정 모두에서 공격를 적용하였다.
• 진화 전략의 초기 쿼리가 일반적으로 무작위에 가까운 점을 중심으로 하며, 타일링 전략이 초기 성공 확률을 높인다는 사실을 활용하였다.

실험 결과

연구 질문

• RQ1 새로운 목적 함수를 가진 비도함수 최적화 접근 방식이 기존의 블랙박스 공격보다 쿼리 효율성에서 뛰어나게 성능을 냈는가?
• RQ2 타일링 전략은 블랙박스 적대적 공격에서 성공률를 향상시키고 쿼리 수를 줄이는 데 어떻게 기여하는가?
• RQ3 왜 딥 네URAL 네트워크는 단일 스타일 타일링 공격에 취약한가? 이는 그들의 강건성에 대해 어떤 통찰을 제공하는가?
• RQ4 제안된 방법은 강력한 방어 기반인 적대적으로 훈련된 모델에 대해 얼마나 효과적인가?
• RQ5 CMA-ES, 코시(1+1)-ES와 같은 DFO 방법 중 어떤 것이 블랙박스 적대적 공격에 가장 효과적인가? 그리고 그 이유는 무엇인가?

주요 결과

• 제안된 방법은 InceptionV3에 대해 비대상 공격에서 평균 630개의 쿼리로 99.2%의 성공률를 달성하였으며, 이는 이전 최신 기술 수준 대비 90개의 쿼리 감소를 의미한다.
• 대상 공격에서는 평균 6,662개의 쿼리로 100%의 성공률를 달성하였으며, 현재 최신 기술 수준 대비 800개의 쿼리 감소를 기록하였다. 이는 100,000개의 쿼리 예산을 사용한 결과이다.
• CMA-ES와 DiagonalCMA는 다른 DFO 방법보다 뛰어난 성능을 보였으며, CMA-ES는 대상 및 비대상 설정 모두에서 모든 지표에서 최고의 결과를 기록하였다.
• 타일링 전략은 초기 성공률를 크게 향상시켰으며, 이는 특히 비대상 공격에서 중앙값과 평균 쿼리 수가 낮게 나타나 증명되었다.
• 제안된 방법은 적대적으로 훈련된 모델에 대해서도 효과적이었지만, CIFAR-10에서 방어된 WideResNet에 대해서는 더 효율적인 공격가 약간 더 뛰어난 성능을 보였다.
• 이 연구는 이전에 관측되지 않은 취약성을 드러냈다: 딥 네URAL 네트워크는 단일 스타일 타일링 공격에 취약하며, 이는 현재의 강건성 이해에 중요한 격차가 있음을 시사한다.