[论文解读] Query Attack via Opposite-Direction Feature:Towards Robust Image Retrieval

Zhedong Zheng, Liang Zheng+2 more|arXiv (Cornell University)|Sep 7, 2018

Adversarial Robustness in Machine Learning参考文献 81被引用 9

一句话总结

本文提出了一种针对图像检索任务的白盒对抗攻击方法——对向特征攻击（ODFA），该方法针对中间深层特征而非分类预测进行攻击。通过在表征空间中最大化特征距离，ODFA 实现了高攻击成功率，在引入难以察觉的扰动下显著降低检索性能，并在黑盒设置下展现出强大的可迁移性。

ABSTRACT

Most existing works of adversarial samples focus on attacking image recognition models, while little attention is paid to the image retrieval task. In this paper, we identify two inherent challenges in applying prevailing image recognition attack methods to image retrieval. First, image retrieval demands discriminative visual features, which is significantly different from the one-hot class prediction in image recognition. Second, due to the disjoint and potentially unrelated classes between the training and test set in image retrieval, predicting the query category from predefined training classes is not accurate and leads to a sub-optimal adversarial gradient. To address these limitations, we propose a new white-box attack approach, Opposite-Direction Feature Attack (ODFA), to generate adversarial queries. Opposite-Direction Feature Attack (ODFA) effectively exploits feature-level adversarial gradients and takes advantage of feature distance in the representation space. To our knowledge, we are among the early attempts to design an attack method specifically for image retrieval. When we deploy an attacked image as the query, the true matches are prone to receive low ranks. We demonstrate through extensive experiments that (1) only crafting adversarial queries is sufficient to fool the state-of-the-art retrieval systems; (2) the proposed attack method, ODFA, leads to a higher attack success rate than classification attack methods, validating the necessity of leveraging characteristics of image retrieval; (3) the adversarial queries generated by our method have good transferability to other retrieval models without accessing their parameters, i.e.,the black-box setting.

研究动机与目标

• 为解决图像检索系统在对抗扰动下的鲁棒性评估不足问题。
• 识别现有基于分类的对抗攻击方法在应用于图像检索任务时的局限性。
• 开发一种直接操纵深层特征以降低检索排序性能的针对性攻击方法。
• 在白盒和黑盒设置下验证特征级攻击在检索模型中的有效性。
• 证明仅通过对抗查询即可有效欺骗最先进检索系统，而无需修改数据库。

提出的方法

• ODFA 提出一种白盒攻击，针对检索模型的中间深层特征，而非最终分类头。
• 引入一种损失函数，以在表征空间中最大化原始查询特征与扰动后查询特征之间的角度距离。
• 通过使用小步长的迭代优化生成难以察觉的扰动，使查询特征向其原始特征向量的相反方向移动。
• 明确考虑特征距离度量，以确保扰动后的查询在相似性排序中被错误分类。
• 设计具有可迁移性，可在未见过的检索模型上实现有效的黑盒攻击，而无需访问其内部参数。
• 在多个数据集和检索模型上评估该方法，包括基于分类和基于排序的架构。

实验结果

研究问题

• RQ1 对抗攻击能否有效应用于依赖特征相似性而非分类预测的图像检索系统？
• RQ2 为何标准的基于分类的对抗攻击方法在应用于图像检索任务时会失效？
• RQ3 一种操纵深层表征的特征级攻击是否能在图像检索中实现比基于分类的攻击更高的成功率？
• RQ4 所提出的 ODFA 方法是否在黑盒检索模型中表现出强可迁移性？
• RQ5 仅通过对抗查询是否能降低最先进检索系统的性能，而无需修改数据库？

主要发现

• 在 Market-1501 数据集上，仅使用对抗查询，ODFA 将 Recall@1 从 92.70% 降低至 34.00%，mAP 从 77.14% 降低至 21.52%。
• 在 Cifar-10 数据集上，当攻击 WideResNet-28 模型时，ODFA 实现 Top-1 准确率下降至 0.34%，Top-5 准确率下降至 1.29%。
• ODFA 在所有评估基准上的攻击成功率均优于快速梯度符号法（FGSM），证实了针对检索任务专门设计的必要性。
• 该方法展现出强大的可迁移性，在未见过的检索模型上成功实现黑盒攻击，且无需访问模型参数。
• 特征空间可视化显示，对抗样本始终移动到原始特征的相反方向，验证了 ODFA 的核心机制。
• 扰动在视觉上难以察觉，证实该攻击在显著降低检索性能的同时保持了高度隐蔽性。