[論文レビュー] Natural Color Fool: Towards Boosting Black-box Unrestricted Attacks

Shengming Yuan, Qilong Zhang+3 more|arXiv (Cornell University)|Oct 5, 2022

Adversarial Robustness in Machine Learning被引用数 15

ひとこと要約

本稿では、ADE20Kデータセットからの現実的な色分布を活用して、自然で高転送性のある adversarial examples を生成するブラックボックス制限なし色攻撃である Natural Color Fool (NCF) を提案する。近接探索と初期化リセットを用いることで、転送性が向上し、標準モデルでは最先端手法よりも15.0–32.9%高い成功率を達成し、防御保護モデルでは10.0–25.3%高い成功率を示した。

ABSTRACT

Unrestricted color attacks, which manipulate semantically meaningful color of an image, have shown their stealthiness and success in fooling both human eyes and deep neural networks. However, current works usually sacrifice the flexibility of the uncontrolled setting to ensure the naturalness of adversarial examples. As a result, the black-box attack performance of these methods is limited. To boost transferability of adversarial examples without damaging image quality, we propose a novel Natural Color Fool (NCF) which is guided by realistic color distributions sampled from a publicly available dataset and optimized by our neighborhood search and initialization reset. By conducting extensive experiments and visualizations, we convincingly demonstrate the effectiveness of our proposed method. Notably, on average, results show that our NCF can outperform state-of-the-art approaches by 15.0%$\sim$32.9% for fooling normally trained models and 10.0%$\sim$25.3% for evading defense methods. Our code is available at https://github.com/ylhz/Natural-Color-Fool.

研究の動機と目的

• 自然な画像の質を犠牲にすることで柔軟性を失う既存の制限なし色攻撃の転送性の低さに対処すること。
• 高い自然性を維持しつつ、大規模で制御不能な色の摂動を可能にすることで、より静かで攻撃成功率の高い攻撃を実現すること。
• 防御機構を備えた多様なモデル間での adversarial examples の転送性を向上させること。
• 現実的な色分布ライブラリが、目立たない歪みを伴わずにブラックボックス攻撃の有効性を著しく向上させられることを示すこと。

提案手法

• ADE20Kデータセットの実画像を用いて、1セマンティッククラスあたり20個のクラス固有の色分布ライブラリを構築する。
• ライブラリからの色マッピングを適用し、各セマンティックセグメントの色を個別に変更することで、多様で現実的な画像バリアントを生成する。
• 標的誤分類損失に基づいて、最も adversarial なバリアントを選択するための代替モデルを用いる。
• 近接する色分布の探索を通じて、より優れた adversarial の強度と転送性を実現する。
• 局所最適解から脱出するための初期化リセットを導入し、色摂動空間の探索を強化する。
• 代替モデルと知覚的品質制約を用いて反復的リファインメントを行うことで、最終的な adversarial 例を最適化する。

実験結果

リサーチクエスチョン

• RQ1 制限なし色攻撃が、画像の自然さを損なわせることなく、より高い転送性を達成できるか？
• RQ2 色分布ライブラリのサイズと多様性が攻撃性能と耐性に与える影響は何か？
• RQ3 近接探索と初期化リセットが、制限なし環境下での adversarial 例の転送性をどの程度向上できるか？
• RQ4 $L_p$-ノルムまたは入力前処理防御で強化されたモデルに対する本手法の有効性はいかほどか？
• RQ5 自然な見た目の色摂動でさえ、現代の防御機構を回避できるか、かつ高い攻撃成功率を維持できるか？

主な発見

• NCFは、通常訓練されたモデルでは最先端手法よりも平均15.0–32.9%高い攻撃成功率を達成し、Inc-v3では最多で83.8%を記録した。
• 防御保護モデルでは、最先端手法と比較して10.0–25.3%高い転送性を示し、強力な回避能力を示した。
• 近接探索と初期化リセットを併用することで、ブラックボックス攻撃における平均12.5%の性能向上が達成された。
• 色分布ライブラリのサイズ $M$ が性能に顕著な影響を与え、最適な成功率は $M=150$ で達成され、$M=0$ より平均で30%以上優れていた。
• 近接探索や初期化リセットがなくても、NCFは柔軟でクラスに特化した色摂動空間のおかげで、SAE や他のベースラインを上回った。
• NCFが生成した例は、高い NIMA スコアを示しており、知覚的品質が高く、人間にはほとんど気づかれないと確認された。