[论文解读] Boosting Black-Box Attack with Partially Transferred Conditional Adversarial Distribution

Feng Yan, Baoyuan Wu+4 more|arXiv (Cornell University)|Jun 15, 2020

Adversarial Robustness in Machine Learning参考文献 51被引用 8

一句话总结

本文提出 $π$-ATTACK，一种新颖的黑盒对抗攻击方法，通过部分迁移白盒替代模型中的条件对抗分布（CAD），提升查询效率与攻击成功率。通过利用目标模型查询学习未迁移的CAD参数，该方法对因模型架构与数据集差异带来的替代模型偏差具有鲁棒性，在基准数据集与真实世界API上均达到最先进性能。

ABSTRACT

This work studies black-box adversarial attacks against deep neural networks (DNNs), where the attacker can only access the query feedback returned by the attacked DNN model, while other information such as model parameters or the training datasets are unknown. One promising approach to improve attack performance is utilizing the adversarial transferability between some white-box surrogate models and the target model (i.e., the attacked model). However, due to the possible differences on model architectures and training datasets between surrogate and target models, dubbed "surrogate biases", the contribution of adversarial transferability to improving the attack performance may be weakened. To tackle this issue, we innovatively propose a black-box attack method by developing a novel mechanism of adversarial transferability, which is robust to the surrogate biases. The general idea is transferring partial parameters of the conditional adversarial distribution (CAD) of surrogate models, while learning the untransferred parameters based on queries to the target model, to keep the flexibility to adjust the CAD of the target model on any new benign sample. Extensive experiments on benchmark datasets and attacking against real-world API demonstrate the superior attack performance of the proposed method.

研究动机与目标

• 为解决因替代模型架构与训练数据集差异导致的黑盒攻击中对抗迁移性下降问题。
• 在封闭集与开放集黑盒攻击场景中，提升攻击成功率与查询效率。
• 开发一种可灵活适应新良性样本的迁移机制，同时利用有信息量的替代模型知识。
• 使用条件生成流（c-Glow）实现高效训练，准确建模复杂的条件对抗分布（CAD）。
• 在训练数据未知且模型差异显著的真实世界API上验证该方法的有效性。

提出的方法

• 提出部分迁移机制：仅从替代模型中迁移CAD参数的子集，其余参数通过目标模型查询反馈学习。
• 使用条件生成流（c-Glow）建模CAD，通过可逆神经网络将简单分布（如高斯分布）映射为复杂的CAD。
• 开发一种高效的c-Glow训练算法，使用随机采样的扰动而非昂贵的对抗样本，降低训练成本。
• 利用目标模型的查询反馈微调未迁移的CAD参数，实现实时适应每个新良性输入。
• 在封闭集（已知目标模型训练数据）与开放集（未知训练数据）场景中应用该方法，包括真实世界API攻击。
• 利用CAD的标签无关性，降低替代模型与目标模型之间类别标签不匹配的敏感性。

实验结果

研究问题

• RQ1 部分迁移条件对抗分布（CAD）是否能缓解黑盒攻击中替代模型偏差的负面影响？
• RQ2 在目标模型训练数据未知的开放集场景中，该方法表现如何？
• RQ3 条件生成流（c-Glow）能否以高保真度与高效率有效建模CAD？
• RQ4 使用随机采样扰动而非对抗样本，是否能实现有效且可扩展的CAD学习？
• RQ5 在真实系统中，该方法相较于最先进黑盒攻击，在攻击成功率与查询效率方面表现如何？

主要发现

• 在封闭集场景中，$π$-ATTACK在CIFAR-10与ImageNet上共取得42次结果中的35次最佳成绩与6次第二佳成绩。
• 在开放集场景中，$π$-ATTACK取得27次结果中的22次最佳成绩与3次第二佳成绩，因替代模型偏差导致的攻击成功率下降仅为0.53%。
• 针对Imagga Tagging API（开放集，真实世界），$π$-ATTACK实现85%的攻击成功率，中位查询次数为21.0次，优于所有基线方法。
• 与SimBA（96.0次中位查询）和TREMBA（51.0次中位查询）相比，该方法将中位查询次数降低至21.0次，展现出卓越的查询效率。
• 因替代模型偏差导致的攻击成功率下降仅为0.53%，显著低于其他查询-迁移方法，证明了其对架构与数据集差异的强鲁棒性。
• 基于c-Glow的CAD建模结合随机扰动训练，实现了精确且高效的CAD近似，有力支持了该方法的有效性。