[論文レビュー] Frequency-driven Imperceptible Adversarial Attack on Semantic Similarity

Cheng Luo, Qinliang Lin+4 more|arXiv (Cornell University)|Mar 10, 2022

Adversarial Robustness in Machine Learning被引用数 9

ひとこと要約

本稿では、深層特徴表現における意味的類似度を標的にした周波数駆動型の敵対的攻撃であるSSAHを提案する。低周波成分への制約を通じて摂動を高周波成分に制限することにより、顕著な見えにくさと、モデルおよびデータセット間で優れた転送性を達成し、CIFAR-10、CIFAR-100、ImageNet-1K、および実世界のオンラインAPIにおいて最先端の手法を上回る性能を発揮する。

ABSTRACT

Current adversarial attack research reveals the vulnerability of learning-based classifiers against carefully crafted perturbations. However, most existing attack methods have inherent limitations in cross-dataset generalization as they rely on a classification layer with a closed set of categories. Furthermore, the perturbations generated by these methods may appear in regions easily perceptible to the human visual system (HVS). To circumvent the former problem, we propose a novel algorithm that attacks semantic similarity on feature representations. In this way, we are able to fool classifiers without limiting attacks to a specific dataset. For imperceptibility, we introduce the low-frequency constraint to limit perturbations within high-frequency components, ensuring perceptual similarity between adversarial examples and originals. Extensive experiments on three datasets (CIFAR-10, CIFAR-100, and ImageNet-1K) and three public online platforms indicate that our attack can yield misleading and transferable adversarial examples across architectures and datasets. Additionally, visualization results and quantitative performance (in terms of four different metrics) show that the proposed algorithm generates more imperceptible perturbations than the state-of-the-art methods. Code is made available at.

研究の動機と目的

• 既存の敵対的攻撃が閉集合分類層に依存しており、データセット間で一般化できないという限界を解消すること。
• 人間視覚系（HVS）にあまり目立たない高周波成分に摂動を制限することで、知覚的見えにくさを向上させること。
• 攻撃生成時にターゲットクラスが不明なオープンセットのシナリオにおいても有効なブラックボックス攻撃フレームワークを開発すること。
• クエリアクセスなしで、多様なアーキテクチャおよび実世界のオンラインモデルに対して転送可能な敵対的例を生成できること。

提案手法

• 分類層の出力に依存せず、特徴表現を操作して正常例を元のクラスから遠ざけ、ターゲットクラスに引き寄せる意味的類似度攻撃（SSA）を提案する。
• 敵対的摂動を画像の高周波成分に制限する低周波制約を導入し、元の画像との知覚的類似性を保証する。
• 摂動のℓ₂およびℓ∞ノルムを最小化するとともに、元の画像と敵対的画像の間の低周波成分の差を最小化するという共同最適化問題として攻撃を定式化する。
• 最適化過程で意味的類似度損失の重要度を動的に調整するための自己スケーリング重み付け（SPW）を適用し、収束性と摂動品質を向上させる。
• 周波数ドメイン解析を用い、画像の低周波成分を測定することで知覚的変動を評価し、このバンドでのずれを知覚的歪みとみなす。
• t-SNE可視化および特徴空間軌道解析を用いて、攻撃が特徴表現をターゲットクラスに効果的に操作していることを検証する。

Figure 1 : Comparison of the adversarial examples and perturbations generated by three different attack methods: (a) C $\&$ W, (b) Our SSA (semantic similarity attack), and (c) Our SSAH (semantic similarity attack on high-frequency components). For the visualization, we regularize the perturbation b

実験結果

リサーチクエスチョン

• RQ1 ターゲットクラスがモデルの既知のカテゴリに含まれないオープンセットのシナリオにおいても効果的な敵対的攻撃を設計できるか？
• RQ2 敵対的摂動を高周波成分に制限することで、知覚的見えにくさを向上させつつ、攻撃成功率を損なわずに済ます方法は何か？
• RQ3 提案された低周波制約は、標準的なℓpノルム制約と比較して、敵対的例の知覚的品質をどの程度向上させるか？
• RQ4 提案手法が生成する敵対的例は、異なる深層学習アーキテクチャおよび実世界のオンライン推論プラットフォーム間でどの程度転送可能か？

主な発見

• ImageNet-1Kでは、SSAHが低周波（LF）指標0.06を達成し、SSA（1.05）およびSPWなしのSSA（1.40）を著しく下回り、低周波制約の有効性が顕著な歪み低減に寄与していることを示している。
• Tencent Cloudのオンラインモデルでは、SSAHが37.98%の攻撃成功率を達成し、C&W（21.71%）、AdvDrop（16.26%）、PerC-AL（18.61%）を上回り、クエリなしのブラックボックス環境下でも優れた性能を示している。
• アブレーションスタディにより、自己スケーリング重み付け（SPW）を導入した場合、SPWなしのバージョンと比較してFréchet Inception Distance（FID）が1.20ポイント低減され、画像品質が向上していることが確認された。
• t-SNE可視化では、SSAHが特徴空間において敵対的例を元のクラスからターゲットクラスへと安定的かつ明確な軌道で誘導していることが示され、C&Wと比較してより優れた挙動を示している。
• 摂動可視化により、SSAHがオブジェクトのエッジやテクスチャ—HVSにあまり目立たない領域—に変更を集中させつつ、滑らかな背景の変更を最小限に抑えていることが確認された。
• SSAHは、FID、LF、および知覚的指標で測定される見えにくさ、およびモデルおよびデータセット間での転送性において、最先端の性能を達成している。

Figure 2 : An overview of proposed SSAH. Left: Semantics Similarity Attack; Right: Low-frequency Constraint. $f(\cdot)$ is the mapping from an image to its embedding in representation space. $\phi(\cdot)$ is a shallow network that decomposes an image into different frequency components and reconstru