[論文レビュー] Revisiting Transferable Adversarial Images: Systemization, Evaluation, and New Insights

Zhengyu Zhao, Hanwei Zhang+7 more|arXiv (Cornell University)|Oct 18, 2023

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

本論文は、ImageNetにおける転送可能な adversarial 攻撃の体系的評価フレームワークを導入し、新たな攻撃分類と公平なハイパーパrameter設定を提案することで、不適切な評価手法の問題を是正する。評価の結果、初期の攻撃である DI が公平な条件下で最新の手法を上回ること、DiffPure は black-box 攻撃によって容易に回避されること、同じ $L_p$ ノルム下でも不正性の度合いが顕著に異なることが判明し、転送性や見えにくさに関する従来の仮定に疑問を呈する。

ABSTRACT

Transferable adversarial images raise critical security concerns for computer vision systems in real-world, black-box attack scenarios. Although many transfer attacks have been proposed, existing research lacks a systematic and comprehensive evaluation. In this paper, we systemize transfer attacks into five categories around the general machine learning pipeline and provide the first comprehensive evaluation, with 23 representative attacks against 11 representative defenses, including the recent, transfer-oriented defense and the real-world Google Cloud Vision. In particular, we identify two main problems of existing evaluations: (1) for attack transferability, lack of intra-category analyses with fair hyperparameter settings, and (2) for attack stealthiness, lack of diverse measures. Our evaluation results validate that these problems have indeed caused misleading conclusions and missing points, and addressing them leads to new, extit{consensus-challenging} insights, such as (1) an early attack, DI, even outperforms all similar follow-up ones, (2) the state-of-the-art (white-box) defense, DiffPure, is even vulnerable to (black-box) transfer attacks, and (3) even under the same $L_p$ constraint, different attacks yield dramatically different stealthiness results regarding diverse imperceptibility metrics, finer-grained measures, and a user study. We hope that our analyses will serve as guidance on properly evaluating transferable adversarial images and advance the design of attacks and defenses. Code is available at https://github.com/ZhengyuZhao/TransferAttackEval.

研究の動機と目的

• 転送可能な adversarial 攻撃研究における一貫性のない、体系的でない評価手法の問題を是正すること。
• 特に公平でないハイパーパrameter設定や不十分な不正性比較が原因で生じる、現在のベンチマークの欠陥を特定すること。
• 転送性と不正性の両方に焦点を当てた、細分化された見えにくさメトリクスと攻撃トレース分析を含む、新たな評価ガイドラインを確立すること。
• ImageNet における 9 つの防御に対して 23 つの攻撃を大規模かつ公平に体系的に評価すること。
• 実証的分析を通じて、攻撃性能や防御の耐性に関する従来の仮定に疑問を呈すること。

提案手法

• 攻撃パイプラインのコアな要素に基づき、転送可能な攻撃の新しい分類法を提案し、カテゴリ内での体系的比較を可能にする。
• 各攻撃カテゴリ内で一貫したハイパーパrameter設定を適用することで、性能評価の公平性を確保する。
• 5 種類の多様な見えにくさメトリクスと、攻撃トレースと誤分類パターンに基づく 2 つの新しい細分化された不正性測定法を導入する。
• 非標的および標的設定の両方を用いて、ImageNet における大規模な評価を実施し、23 つの代表的攻撃と 9 つの防御を評価する。
• 摂動のパターンと adversarial 予測のクラス分布を分析することで、不正性と追跡可能性を評価する。
• 入力拡張攻撃において、表現力とノイズのバランスを考慮し、中程度の入力コピー数 (N=5) を使用することで、最適な攻撃精度を達成する。

実験結果

リサーチクエスチョン

• RQ1 公平なカテゴリ内ハイパーパrameter設定下で、異なる転送可能な攻撃手法はどのように比較されるか？
• RQ2 $L_p$ ノルムを超えた不正性が転送性にどの程度影響を与えるか、また、異なるメトリクス間の相関関係は何か？
• RQ3 誤分類パターンを用いて攻撃トレースを効果的に実行できるか、またどの攻撃タイプが最も追跡可能か？
• RQ4 DiffPure のような最先端の防御は black-box 転送可能攻撃に対してどの程度有効か、実際のセキュリティを提供しているか？
• RQ5 生成モデル攻撃がなぜ一貫して adversarial 例を単一の主要クラスに誤分類するのか、これは不正性にどのような意味を持つのか？

主な発見

• 公平なハイパーパrameter設定下では、初期の攻撃である DI が、以降のすべての手法を上回る転送性を示し、より新しい攻撃が本質的に優れているという仮定に疑問を呈する。
• 最先端とされる防御である DiffPure でさえ、black-box 転送可能攻撃によってほとんど容易に回避可能であることが判明し、誤った安心感をもたらす可能性がある。
• 同じ $L_{ u}$ ノルムで制限されても、攻撃ごとに不正性の性能に顕著な差が見られ、その不正性と転送性は負の相関関係にある。
• 生成モデル攻撃は、常に画像に依存しない摂動を生成し、入力を一貫して単一の主要クラス（例：CDA における「harp」）に誤分類させるため、非常に追跡可能である。
• adversarial 例で最も頻出する誤分類クラスは、しばしば「brain coral」や「jigsaw puzzle」のようなテクスチャ的パターンを示しており、摂動が高周波成分を有している可能性を示唆する。
• 入力拡張ベースの攻撃において、中程度の入力コピー数 (N=5) が表現力とノイズのバランスを最適化し、最良の攻撃精度を達成する。