[论文解读] Frequency Domain Model Augmentation for Adversarial Attack

Yuyang Long, Qilong Zhang+5 more|arXiv (Cornell University)|Jul 12, 2022

Adversarial Robustness in Machine Learning被引用 7

一句话总结

本文提出了一种新颖的频域模型增强方法——频谱模拟攻击（Spectrum Simulation Attack, SSA），通过基于DCT/IDCT的频谱变换生成多样化的替代模型，从而提升对抗样本的迁移性。通过操纵输入的频谱，SSA生成了更具迁移性的对抗样本，在ImageNet上对九种最先进的防御模型实现了95.4%的平均成功率。

ABSTRACT

For black-box attacks, the gap between the substitute model and the victim model is usually large, which manifests as a weak attack performance. Motivated by the observation that the transferability of adversarial examples can be improved by attacking diverse models simultaneously, model augmentation methods which simulate different models by using transformed images are proposed. However, existing transformations for spatial domain do not translate to significantly diverse augmented models. To tackle this issue, we propose a novel spectrum simulation attack to craft more transferable adversarial examples against both normally trained and defense models. Specifically, we apply a spectrum transformation to the input and thus perform the model augmentation in the frequency domain. We theoretically prove that the transformation derived from frequency domain leads to a diverse spectrum saliency map, an indicator we proposed to reflect the diversity of substitute models. Notably, our method can be generally combined with existing attacks. Extensive experiments on the ImageNet dataset demonstrate the effectiveness of our method, extit{e.g.}, attacking nine state-of-the-art defense models with an average success rate of extbf{95.4\%}. Our code is available in \url{https://github.com/yuyang-long/SSA}.

研究动机与目标

• 为解决由于替代模型与受害者模型之间存在差距，导致黑盒攻击中对抗样本迁移性有限的问题。
• 探究频域变换是否能生成比空域变换更多样化的替代模型。
• 开发一种模型增强技术，通过频谱操控模拟多样化的模型行为，从而提升对抗攻击的成功率。
• 验证频域频谱变换在提升标准模型和防御模型迁移性方面的有效性。

提出的方法

• 提出一种基于离散余弦变换（DCT）和逆DCT（IDCT）的频谱变换方法，用于在频域中修改输入图像。
• 引入频谱显著性图作为度量指标，用于量化模型多样性，其定义为模型损失相对于输入频谱的梯度。
• 采用随机参数ξ和M来控制频谱修改的程度与分布，从而提升模型多样性。
• 直接在完整图像上进行DCT/IDCT处理（而非分块处理），以保留全局频谱结构，提升迁移性。
• 将该变换集成到现有的对抗攻击框架（如I-FGSM）中，作为即插即用的增强技术。
• 理论分析证明，该频谱变换可产生多样化频谱显著性图，表明其能有效模拟模型多样性。

实验结果

研究问题

• RQ1 在对抗攻击中，频域变换是否能生成比空域变换更多样化的替代模型？
• RQ2 频谱显著性图如何反映不同模型在行为上的差异？
• RQ3 基于频谱的模型增强在标准模型和防御模型上能多大程度地提升迁移性？
• RQ4 为最大化攻击成功率，变换参数（ξ和M）的最优配置是什么？
• RQ5 在基于频谱的模型增强中，全图DCT/IDCT处理是否优于分块处理？

主要发现

• 所提出的频域频谱变换显著提升了模型多样性，表现为与空域方法相比，频谱显著性图更加全面且多样化。
• 频谱模拟攻击（SSA）在九种最先进的防御模型上实现了95.4%的平均攻击成功率，优于SOTA迁移攻击5.6%至23.1%。
• 在攻击Inc-v3时，频域方法比空域方法高出15.0%的攻击成功率，证明了频域建模的优越性。
• DCT/IDCT处理的分块大小对性能有显著影响，全图处理（299×299）取得了最高的成功率。
• 参数ξ和M均能有效提升迁移性，二者联合使用可显著改善攻击性能。
• Grad-CAM可视化结果表明，对抗样本使模型注意力从关键物体转移到无关区域，从而解释了高误分类率的原因。