[论文解读] Projection & Probability-Driven Black-Box Attack

Jie Li, Rongrong Ji+5 more|arXiv (Cornell University)|May 8, 2020

Adversarial Robustness in Machine Learning参考文献 40被引用 4

一句话总结

本文提出投影与概率驱动的黑盒攻击（PPBA），一种查询高效的攻击方法。该方法通过基于压缩感知的低频约束感知矩阵减少解空间，并通过概率驱动的随机游走策略提升优化效率。PPBA 在真实系统（如 Google Cloud Vision API）上实现了最先进性能，查询次数最多减少 24%，成功率高达 84%。

ABSTRACT

Generating adversarial examples in a black-box setting retains a significant challenge with vast practical application prospects. In particular, existing black-box attacks suffer from the need for excessive queries, as it is non-trivial to find an appropriate direction to optimize in the high-dimensional space. In this paper, we propose Projection & Probability-driven Black-box Attack (PPBA) to tackle this problem by reducing the solution space and providing better optimization. For reducing the solution space, we first model the adversarial perturbation optimization problem as a process of recovering frequency-sparse perturbations with compressed sensing, under the setting that random noise in the low-frequency space is more likely to be adversarial. We then propose a simple method to construct a low-frequency constrained sensing matrix, which works as a plug-and-play projection matrix to reduce the dimensionality. Such a sensing matrix is shown to be flexible enough to be integrated into existing methods like NES and Bandits$_{TD}$. For better optimization, we perform a random walk with a probability-driven strategy, which utilizes all queries over the whole progress to make full use of the sensing matrix for a less query budget. Extensive experiments show that our method requires at most 24% fewer queries with a higher attack success rate compared with state-of-the-art approaches. Finally, the attack method is evaluated on the real-world online service, i.e., Google Cloud Vision API, which further demonstrates our practical potentials.

研究动机与目标

• 解决现有黑盒攻击在高维输入空间中所需高查询预算的问题。
• 通过利用对抗扰动的低频偏差，减少对抗样本生成的解空间。
• 通过基于查询历史的概率驱动策略，提升优化效率。
• 在真实世界的在线服务上评估该方法，证明其在标准基准之外的实际适用性。

提出的方法

• 该方法将对抗扰动生成建模为压缩感知问题，利用低频约束感知矩阵恢复频域稀疏信号。
• 感知矩阵通过将标准基应用逆离散余弦变换（DCT）并选取低频分量构建，实现从 150,528 维到约 1,500 维的降维。
• 感知矩阵作为即插即用的投影矩阵，可与现有基于查询的方法（如 NES 和 Bandits TD）兼容。
• 概率驱动的随机游走策略将每个优化步骤量化为三元组（如正、零、负），并利用历史查询反馈指导方向选择。
• 该策略最大化迭代间的信息复用，提升样本效率，降低对高维梯度估计的依赖。
• 该方法将感知矩阵与概率驱动优化整合为统一框架，在保持高攻击成功率的同时显著降低查询成本。

实验结果

研究问题

• RQ1 能否利用对抗扰动中的低频先验来减少黑盒攻击中的解空间？
• RQ2 通过约束搜索空间，如何提升高维黑盒攻击中的查询效率？
• RQ3 一种利用全部历史查询的基于概率的优化策略，是否能在查询效率上超越基于梯度估计的方法？
• RQ4 此类方法在真实世界、生产级 API（如 Google Cloud Vision）上的成功率能达到何种程度？

主要发现

• 在标准 ImageNet 基准上，PPBA 相较于最先进方法最多减少 24% 的查询次数。
• 该方法在攻击成功率上优于现有方法，尤其在 Inception v3 等深层模型上表现更优。
• 在优化过程中，PPBA 的步长有效率始终高于 20%，显著优于 Bandits TD（始终低于 20%）。
• 在真实世界的 Google Cloud Vision API 上，PPBA 以平均每成功攻击 314 次查询实现 84% 的攻击成功率。
• 低频感知矩阵具有灵活性，可无缝集成至现有基于查询的攻击框架（如 NES 和 Bandits TD）中。
• 概率驱动策略实现了对所有查询的高效利用，提升了样本效率并加速了收敛。