[논문 리뷰] Structure Invariant Transformation for better Adversarial Transferability

Xiaosen Wang, Zeliang Zhang외 1명|arXiv (Cornell University)|2023. 09. 26.

Adversarial Robustness in Machine Learning인용 수 5

한 줄 요약

이 논문은 구조를 유지하면서 이미지 블록에 국소적으로 다양한 변환을 적용함으로써 전이성(transferability)을 향상시키는 새로운 입력 변환 기반의 적대적 공격인 구조 불변 공격(SIA)을 제안한다. 여러 블록 단위로 변환된 이미지에서 기울기를 계산하여, CNN 및 비전 트랜스포머 모델에서 최신 기술(SOTA) 수준의 전이성을 달성하며, ImageNet에서 이전 방법들보다 최대 7.6% 높은 성능을 기록한다.

ABSTRACT

Given the severe vulnerability of Deep Neural Networks (DNNs) against adversarial examples, there is an urgent need for an effective adversarial attack to identify the deficiencies of DNNs in security-sensitive applications. As one of the prevalent black-box adversarial attacks, the existing transfer-based attacks still cannot achieve comparable performance with the white-box attacks. Among these, input transformation based attacks have shown remarkable effectiveness in boosting transferability. In this work, we find that the existing input transformation based attacks transform the input image globally, resulting in limited diversity of the transformed images. We postulate that the more diverse transformed images result in better transferability. Thus, we investigate how to locally apply various transformations onto the input image to improve such diversity while preserving the structure of image. To this end, we propose a novel input transformation based attack, called Structure Invariant Attack (SIA), which applies a random image transformation onto each image block to craft a set of diverse images for gradient calculation. Extensive experiments on the standard ImageNet dataset demonstrate that SIA exhibits much better transferability than the existing SOTA input transformation based attacks on CNN-based and transformer-based models, showing its generality and superiority in boosting transferability. Code is available at https://github.com/xiaosen-wang/SIT.

연구 동기 및 목표

• 기존의 블랙박스 적대적 공격, 특히 입력 변환 기반 방법의 전이성 한계를 해결하기 위해.
• 변환된 이미지의 다양성을 증가시키는 것이 적대적 전이성 향상에 기여하는지 조사하기 위해.
• 전반적인 이미지 구조를 손상시키지 않으면서 다양성을 높이는 새로운 이미지 변환 전략을 설계하기 위해.
• 다양한 변환된 이미지를 활용하는 기울기 기반 공격을 개발하여 전이성을 향상시키기 위해.
• 제안된 방법의 효과성과 일반화 능력을 다양한 아키텍처, 특히 비전 트랜스포머를 포함하여 검증하기 위해.

제안 방법

• 입력 이미지를 겹치지 않는 공간 블록(예: 3×3)으로 분할하여 국소적 변환를 가능하게 한다.
• 각 이미지 블록은 크기 조정, 스케일링, 이동, 혼합 등의 랜덤 조합을 사용해 독립적으로 변환된다.
• 공격은 N개의 블록 단위로 변환된 이미지에서 기울기를 계산하고, 이를 평균하여 분산을 줄인다.
• 평균 기울기를 사용해 노이즈를 줄이고 구조 일관성을 유지하면서도 다양성을 증가시킨다.
• 변환 전략은 블록 간 국소적 변동성을 극대화하면서도 전반적인 객체 구조를 유지하도록 설계된다.
• 공격은 블랙박스 설정에서 수행되며, 타겟 모델에 대한 쿼리 접근 권한만 필요로 한다.

실험 결과

연구 질문

• RQ1 변환된 이미지의 다양성을 증가시키면 적대적 전이성이 향상되는가?
• RQ2 블록 단위로 국소적으로 이미지를 변환하는 방식이 구조적 통합성을 유지하면서도 다양성을 증가시켜 공격 성능 향상에 기여하는가?
• RQ3 이미지 블록 수와 변환된 이미지 수가 기울기 품질과 공격 성공률에 미치는 영향은 무엇인가?
• RQ4 SIA는 CNN 및 비전 트랜스포머 모델 모두에서 전역적 변환 기반 공격보다 더 효과적인가?
• RQ5 각 개별 변환 유형이 전체 전이성 향상에 기여하는 정도는 어느 정도인가?

주요 결과

• SIA는 ResNet-18에서 MI-FGSM보다 최대 7.6% 높은 공격 성공률을 기록하여 뛰어난 전이성을 입증한다.
• SIA는 Admix 및 SSA와 같은 최신 기술(SOTA) 방법을 포함한 모든 평가된 모델에서 슈퍼리어한 성능을 보였다.
• 다양한 변환을 조합할수록 공격 성공률이 향상되어 상호 보완적 효과가 있음을 확인했다.
• 어느 하나의 변환 유형이라도 제거하면 전이성이 떨어지므로, 각 변환 유형이 성능 향상에 기여하고 있음을 입증했다.
• SIA는 s=3개의 블록과 N=20개의 변환된 이미지를 사용할 때 다양성과 기울기 분산 사이의 최적 균형을 달성한다.
• SIA는 전역적으로 변환을 적용하는 무작위 변환 기반 베이스라인(SIA_r)보다 뚜렷이 뛰어나며, 블록 단위 처리의 우수성을 입증한다.