[论文解读] Random Directional Attack for Fooling Deep Neural Networks

Wenjian Luo, Chenwang Wu+2 more|arXiv (Cornell University)|Aug 6, 2019

Adversarial Robustness in Machine Learning参考文献 52被引用 5

一句话总结

本文提出随机方向攻击（RDA），一种单步对抗攻击方法，利用首次选择爬山法在梯度方向之外搜索有效攻击方向，实现了白盒和黑盒设置下的竞争力表现。RDA通过寻找非梯度方向成功欺骗深度神经网络，即使在梯度方向失效时仍能保持高性能，并且在无需模型内部信息的情况下维持了高成功率的黑盒攻击。

ABSTRACT

Deep neural networks (DNNs) have been widely used in many fields such as images processing, speech recognition; however, they are vulnerable to adversarial examples, and this is a security issue worthy of attention. Because the training process of DNNs converge the loss by updating the weights along the gradient descent direction, many gradient-based methods attempt to destroy the DNN model by adding perturbations in the gradient direction. Unfortunately, as the model is nonlinear in most cases, the addition of perturbations in the gradient direction does not necessarily increase loss. Thus, we propose a random directed attack (RDA) for generating adversarial examples in this paper. Rather than limiting the gradient direction to generate an attack, RDA searches the attack direction based on hill climbing and uses multiple strategies to avoid local optima that cause attack failure. Compared with state-of-the-art gradient-based methods, the attack performance of RDA is very competitive. Moreover, RDA can attack without any internal knowledge of the model, and its performance under black-box attack is similar to that of the white-box attack in most cases, which is difficult to achieve using existing gradient-based attack methods.

研究动机与目标

• 解决梯度方法的局限性，即当沿梯度方向的扰动无法提升损失时（由于模型非线性），攻击会失败。
• 开发一种单步攻击方法，能够在不依赖梯度方向的情况下成功生成对抗样本。
• 通过仅使用模型输出来实现有效的黑盒攻击，避免对模型内部参数的依赖。
• 在模型架构和权重未知的场景下，提升对抗攻击的可迁移性和鲁棒性。

提出的方法

• RDA采用首次选择爬山法，迭代搜索在小扰动下能提高误分类概率的攻击方向。
• 在每次迭代中，仅扰动输入维度的一个随机子集，从而在保持搜索效率的同时降低计算成本。
• 仅当攻击方向导致成功误分类时才更新方向，通过随机探索避免陷入局部最优。
• RDA使用模型的输出概率（类别得分）作为反馈，实现无需访问梯度或内部权重的黑盒操作。
• 该方法设计为单步攻击，即在方向搜索完成后一次性应用最终扰动。
• RDA可在白盒和黑盒设置下应用，后者使用替代模型初始化搜索方向。

实验结果

研究问题

• RQ1 能否设计一种单步对抗攻击，通过搜索梯度方向之外的方向，超越基于梯度的方法？
• RQ2 基于爬山法的搜索策略是否能有效找到成功欺骗深度神经网络的非梯度方向？
• RQ3 RDA能否在不依赖模型内部信息的情况下，实现在黑盒设置下的高攻击成功率？
• RQ4 RDA在成功率和扰动大小方面与最先进基于梯度的攻击相比表现如何？
• RQ5 在非线性DNN中，有效攻击方向与梯度方向之间的关系是什么？

主要发现

• 在MNIST上，RDA在ϵ = 0.1时达到96.21%的攻击成功率，显著优于FGSM（44.63%）和L.L.Class（53.47%）。
• 在SVHN上，RDA在ϵ = 0.2时达到100%成功率，优于MI-FGSM（98.34%）和BIM（98.28%）。
• 在CIFAR-10上，RDA在所有测试的ε值下均达到100%成功率，与或超过所有对比方法。
• 在ImageNet-10上，RDA在黑盒攻击中保持强劲表现，在ϵ = 0.1时达到97.17%的成功率，而FGSM仅为54.90%。
• 在黑盒设置下，RDA的性能仅比白盒性能略有下降，而FGSM和BIM等其他方法则出现了显著下降。
• 有效攻击方向与梯度方向之间的夹角较大（例如，一个示例中为36.1°），证实非梯度方向通常更具有效性。